HPE/H3C Comware

Сетевое оборудование HPE и H3C под управлением Comware генерирует системные сообщения о работе интерфейсов, протоколов маршрутизации и коммутации, аппаратных компонентов, действиях администраторов, изменениях конфигурации, ошибках и событиях безопасности.

Централизованная отправка этих сообщений в LOGG позволяет хранить историю работы оборудования, искать события сразу по всей сети, восстанавливать их последовательность и сопоставлять журналы Comware с событиями других компонентов инфраструктуры.

Что можно собирать

В LOGG могут передаваться системные сообщения Comware, в том числе:

• изменение состояния физических и логических интерфейсов;
• события VLAN, STP/MSTP и link aggregation;
• события маршрутизации;
• изменения состояния соседей и сетевых протоколов;
• ошибки и предупреждения оборудования;
• события питания, вентиляторов и температуры;
• перезагрузки оборудования;
• аппаратные и программные ошибки;
• действия администраторов;
• успешные и неуспешные попытки доступа;
• изменения конфигурации;
• события AAA и безопасности;
• сообщения различных подсистем Comware.

Конкретный набор сообщений зависит от модели оборудования, версии Comware и настроенной политики Information Center.

Information Center

В Comware управление журналами выполняет Information Center.

Он принимает сообщения различных программных модулей и распределяет их между назначениями:

• удаленными Syslog-серверами;
• локальным log buffer;
• консолью;
• терминальными сессиями;
• другими поддерживаемыми каналами.

Такой подход позволяет независимо определить, какие сообщения должны храниться локально, передаваться в LOGG или выводиться непосредственно администратору.

Минимальная настройка

Для начала необходимо включить Information Center:

system-view
info-center enable

Затем указать сервер LOGG:

info-center loghost 192.0.2.10

Где 192.0.2.10 — IP-адрес сервера LOGG.

Типовая передача Syslog выполняется по UDP/514.

После настройки сохраните конфигурацию:

save

Рекомендуемая настройка

Для постоянной эксплуатации рекомендуется явно определить источник Syslog и уровень передаваемых сообщений.

Пример базовой конфигурации:

system-view

info-center enable
info-center loghost 192.0.2.10
info-center loghost source LoopBack0
info-center source default loghost level informational

save

Синтаксис info-center несколько различается между поколениями Comware, поэтому перед массовым применением конфигурации его следует проверить для конкретной версии ПО.

Уровни журналирования

Comware использует стандартные уровни Syslog:

Уровень	Название	Назначение
0	emergency	система неработоспособна
1	alert	требуется немедленное вмешательство
2	critical	критическая ошибка
3	error	ошибка
4	warning	предупреждение
5	notification	важное штатное событие
6	informational	информационное сообщение
7	debugging	отладочная информация

Для эксплуатационного мониторинга хорошей отправной точкой является уровень informational.

Он позволяет получать не только ошибки и предупреждения, но и значимые штатные события, необходимые для восстановления последовательности изменений инфраструктуры.

Уровень debugging рекомендуется использовать только для диагностики конкретных проблем — на активно работающем оборудовании он может создавать значительный поток сообщений.

Управление источниками сообщений

Information Center позволяет определять правила для отдельных программных модулей Comware.

Это дает возможность централизованно управлять тем, какие сообщения поступают в LOGG.

Например, можно различать события:

• интерфейсов;
• STP;
• LACP;
• маршрутизации;
• AAA;
• SNMP;
• аппаратных компонентов;
• системных служб.

Для отдельных источников могут задаваться собственные уровни журналирования и назначения.

Это особенно полезно на крупных устройствах ядра и агрегации, которые способны генерировать большой объем сообщений.

Локальный буфер

Помимо отправки сообщений в LOGG рекомендуется сохранять журналы непосредственно на устройстве.

Information Center позволяет направлять сообщения в локальный log buffer.

Содержимое буфера можно просмотреть командой:

display logbuffer

Локальный журнал полезен:

• при временной недоступности LOGG;
• при проблемах management-сети;
• при диагностике загрузки устройства;
• для проверки генерации Syslog;
• для сопоставления локальных и централизованных событий.

LOGG при этом используется для долговременного хранения и анализа журналов всей инфраструктуры.

Стабильный адрес источника

Если оборудование имеет несколько IP-интерфейсов, рекомендуется явно определить интерфейс, адрес которого будет использоваться для отправки Syslog.

Например:

info-center loghost source LoopBack0

Использование Loopback особенно удобно для маршрутизаторов, коммутаторов ядра и агрегации.

LOGG будет получать сообщения от стабильного IP-адреса независимо от того, через какой физический интерфейс фактически проходит трафик.

Management VPN / VRF

В крупных сетях управление оборудованием часто вынесено в отдельную management-сеть.

В Comware для этого могут использоваться отдельные VPN instance.

При такой архитектуре необходимо убедиться, что:

• LOGG доступен из management VPN;
• Syslog использует корректный маршрут;
• ACL разрешают передачу сообщений;
• source IP соответствует ожидаемому адресу устройства.

Поддержка и точный синтаксис привязки Syslog к VPN instance зависят от версии Comware и модели оборудования.

UDP и другие варианты транспорта

Наиболее распространенная схема для Comware:

HPE/H3C → Syslog UDP/514 → LOGG

UDP прост, хорошо масштабируется и традиционно используется для сетевого Syslog.

При этом UDP не подтверждает доставку каждого сообщения.

Если конкретная версия Comware поддерживает альтернативные транспорты Syslog, их использование следует рассматривать с учетом:

• требований к надежности доставки;
• производительности оборудования;
• архитектуры management-сети;
• возможностей принимающей стороны LOGG.

Несколько серверов

Comware позволяет использовать несколько Syslog-серверов.

Например:

info-center loghost 192.0.2.10
info-center loghost 192.0.2.11

Это позволяет организовать:

• резервирование;
• параллельную передачу в несколько экземпляров LOGG;
• одновременную отправку в LOGG и SIEM;
• миграцию между системами журналирования.

Фильтрация потока

На крупных сетях важно управлять не только приемом, но и объемом генерируемых журналов.

Information Center позволяет фильтровать сообщения по:

• источнику / модулю;
• severity;
• типу информации;
• назначению.

Это дает возможность, например, передавать в LOGG все эксплуатационно значимые сообщения, но не отправлять постоянный диагностический поток отдельных модулей.

При первоначальном подключении оборудования не рекомендуется делать фильтрацию слишком строгой.

Лучше сначала получить реальный поток в LOGG, оценить его структуру и только после этого определить:

• полезные сообщения;
• информационный шум;
• события для долгосрочного хранения;
• события для автоматических правил;
• сообщения, которые можно исключить на источнике.

Время и NTP

Корректное время критически важно для централизованного анализа журналов.

Все HPE/H3C и серверы LOGG должны использовать согласованные источники времени.

Проверить время можно командой:

display clock

Состояние NTP — соответствующими командами используемой версии Comware.

Особенно важно контролировать:

• дату и время;
• временную зону;
• NTP-синхронизацию;
• единый подход ко времени на всем оборудовании.

Это позволяет LOGG корректно построить последовательность событий:

10:21:14.120  CORE-01    LAG member DOWN
10:21:14.337  DIST-02    uplink DOWN
10:21:14.851  DIST-02    MSTP topology change
10:21:15.204  CORE-02    route changed

Даже небольшое расхождение времени между устройствами затрудняет анализ первопричины аварии.

Проверка настройки

Основной инструмент проверки Information Center:

display info-center

Для просмотра локальных сообщений:

display logbuffer

Текущую конфигурацию можно проверить:

display current-configuration

Также необходимо проверить сетевую доступность LOGG:

ping 192.0.2.10

После настройки убедитесь, что устройство появилось среди источников LOGG и новые события поступают в систему.

Если сообщения не поступают

Последовательно проверьте:

1. Включен ли info-center.
2. Правильно ли указан IP-адрес LOGG.
3. Доступен ли LOGG с устройства.
4. Есть ли корректный маршрут до сервера.
5. Не блокируется ли UDP/514 или другой используемый порт.
6. Правильно ли выбран source interface.
7. Правильно ли настроен VPN instance, если используется отдельная management-сеть.
8. Не установлен ли слишком строгий severity.
9. Не исключен ли нужный модуль правилами Information Center.
10. Генерируются ли сообщения в локальном logbuffer.
11. Принимает ли LOGG сообщения на соответствующем интерфейсе и порту.
12. Синхронизировано ли время устройства.

Для первичной диагностики особенно полезны:

display info-center
display logbuffer
display clock

Рекомендуемый подход

Для большого парка HPE/H3C рекомендуется сформировать единую политику журналирования:

HPE/H3C Comware
       │
       ├── единый NTP
       ├── единые уровни Syslog
       ├── стабильный source IP
       ├── локальный log buffer
       │
       └── LOGG

Политика должна определять:

• адреса серверов LOGG;
• transport и port;
• severity;
• source interface;
• NTP;
• правила Information Center;
• локальное хранение;
• правила фильтрации.

Конфигурацию затем можно распространять централизованно средствами управления конфигурациями и автоматизации.

Что дает подключение HPE/H3C к LOGG

Отдельный коммутатор показывает только собственную часть происходящего.

LOGG объединяет журналы устройств доступа, агрегации, ядра, серверов, операционных систем и других компонентов в единой временной шкале.

Вместо отдельного сообщения:

«Uplink перешел в состояние Down»

можно увидеть цепочку:

что произошло → в какой последовательности отреагировали компоненты → какие объекты и сервисы оказались затронуты.

Множество устройств — единая картина событий.

LOGG: события, связи, влияние.

Примечание: HPE/H3C Comware существует в нескольких поколениях, в частности Comware 5 и Comware 7, а отдельные семейства оборудования имеют различия CLI. Перед массовым применением примеров необходимо сверить синтаксис info-center с документацией конкретной модели и версии ПО.