Huawei VRP

Сетевое оборудование Huawei под управлением VRP (Versatile Routing Platform) генерирует системные сообщения о работе интерфейсов, протоколов, оборудования, действиях пользователей, изменениях конфигурации, ошибках и других событиях.

Централизованная отправка этих сообщений в LOGG позволяет хранить историю работы оборудования, искать события сразу по всей сети, анализировать их последовательность и использовать журналы совместно с другими данными мониторинга.

Что можно собирать

В LOGG могут передаваться системные сообщения Huawei VRP, в том числе:

• изменение состояния интерфейсов;
• события маршрутизации и сетевых протоколов;
• ошибки и предупреждения оборудования;
• события питания, вентиляторов и температуры;
• перезагрузки оборудования;
• ошибки программного обеспечения;
• действия администраторов;
• успешные и неуспешные попытки доступа;
• изменения конфигурации;
• события безопасности;
• сообщения различных модулей VRP.

Конкретный набор сообщений зависит от модели оборудования, версии VRP и настроенного уровня журналирования.

Минимальная настройка

В Huawei VRP за работу с журналами отвечает Information Center.

Для начала необходимо убедиться, что он включен:

system-view
info-center enable

Затем указывается адрес сервера LOGG:

info-center loghost 192.0.2.10

Где 192.0.2.10 — IP-адрес сервера LOGG.

По умолчанию Syslog обычно передается по UDP/514.

Рекомендуемая настройка

Для эксплуатации полезно явно определить источник сообщений:

system-view

info-center enable
info-center loghost source LoopBack0
info-center loghost 192.0.2.10

quit
save

Использование Loopback-интерфейса обеспечивает стабильный адрес источника Syslog независимо от состояния физических интерфейсов и изменений маршрутизации.

Уровни журналирования

Huawei VRP использует стандартную модель Syslog severity:

Уровень	Название	Назначение
0	emergencies	система неработоспособна
1	alert	требуется немедленное вмешательство
2	critical	критическая ошибка
3	error	ошибка
4	warning	предупреждение
5	notification	важное штатное событие
6	informational	информационное сообщение
7	debugging	отладочная информация

Для централизованного сбора обычно имеет смысл передавать события вплоть до уровня informational.

В VRP правила вывода сообщений задаются через info-center source.

Например:

info-center source default channel loghost log level informational

Это задает передачу журналов соответствующего уровня в канал loghost.

Синтаксис может различаться между поколениями и версиями VRP, поэтому перед массовым применением конфигурации рекомендуется проверить команду на конкретной серии оборудования.

Information Center

Важное отличие Huawei VRP — наличие централизованного механизма Information Center.

Он позволяет раздельно управлять:

• системными журналами;
• trap-сообщениями;
• debugging-сообщениями;
• источниками сообщений;
• severity;
• каналами назначения.

Сообщения могут направляться в разные каналы:

• локальный log buffer;
• консоль;
• terminal monitor;
• удаленный Syslog-сервер;
• другие поддерживаемые VRP назначения.

Таким образом, можно независимо определить, какие события сохранять локально, какие показывать администратору и какие передавать в LOGG.

Локальный буфер

Помимо отправки сообщений в LOGG рекомендуется сохранять часть журналов непосредственно на устройстве.

Например:

info-center logbuffer

Состояние локального буфера и его параметры зависят от версии VRP и конкретного семейства оборудования.

Локальный журнал особенно полезен при диагностике ситуации, когда устройство временно потеряло связь с LOGG.

Отдельная сеть управления

Если для управления оборудованием используется отдельная management-сеть, в качестве источника Syslog рекомендуется использовать адрес соответствующего интерфейса или Loopback:

info-center loghost source LoopBack0

Это дает стабильную идентификацию устройства в LOGG и упрощает построение ACL и правил межсетевых экранов.

В инфраструктурах с VPN instance / VRF следует также учитывать таблицу маршрутизации, через которую должен быть доступен сервер LOGG.

Несколько серверов LOGG

Huawei VRP позволяет настроить несколько удаленных Syslog-серверов.

Например:

info-center loghost 192.0.2.10
info-center loghost 192.0.2.11

Это может использоваться:

• для резервирования;
• параллельной отправки в два экземпляра LOGG;
• одновременной интеграции LOGG и SIEM;
• миграции между системами без остановки сбора журналов.

Фильтрация сообщений

VRP позволяет управлять тем, какие сообщения передаются в конкретный канал.

Для этого используется механизм info-center source.

Фильтрация может выполняться по:

• модулю VRP;
• типу информации;
• severity;
• каналу назначения.

Это позволяет, например, передавать в LOGG эксплуатационные сообщения от сетевых протоколов, интерфейсов и оборудования, исключив ненужный debugging-трафик.

Однако при первоначальном подключении рекомендуется не делать фильтрацию слишком жесткой.

Сначала полезно собрать реальный поток журналов, определить его объем и ценность различных типов сообщений, а затем оптимизировать правила.

Время и временная зона

Для анализа последовательности событий критически важно корректное время на всех устройствах.

Рекомендуется синхронизировать Huawei VRP с корпоративными NTP-серверами и проверить:

• системное время;
• временную зону;
• NTP-синхронизацию.

Например, состояние времени можно проверить командами:

display clock
display ntp-service status

При анализе аварии разница даже в несколько секунд между сетевыми устройствами может существенно затруднить восстановление последовательности событий.

Проверка настройки

Текущие настройки Information Center можно проверить командой:

display info-center

Настроенные Syslog-серверы:

display info-center

Локальные сообщения можно просматривать через:

display logbuffer

Также полезно проверить IP-доступность сервера LOGG:

ping 192.0.2.10

После настройки следует убедиться, что сообщения от устройства появились в интерфейсе LOGG.

Если сообщения не поступают

Проверьте:

1. Включен ли info-center.
2. Правильно ли указан IP-адрес LOGG.
3. Доступен ли сервер LOGG с устройства.
4. Разрешен ли Syslog-трафик межсетевыми экранами и ACL.
5. Есть ли корректный маршрут до LOGG.
6. Правильно ли выбран source интерфейс.
7. Правильно ли настроен VPN instance / VRF, если он используется.
8. Не установлен ли слишком строгий severity или фильтр info-center source.
9. Принимает ли LOGG Syslog на соответствующем адресе, протоколе и порту.
10. Синхронизировано ли время устройства.

Для первичной диагностики особенно полезны:

display info-center
display logbuffer
display clock

Практическая конфигурация

В качестве базовой конфигурации можно использовать:

system-view

info-center enable
info-center loghost source LoopBack0
info-center loghost 192.0.2.10
info-center source default channel loghost log level informational

quit
save

Адрес LOGG, интерфейс источника, severity и другие параметры необходимо адаптировать под конкретную сеть и используемую версию Huawei VRP.

Для крупной инфраструктуры рекомендуется унифицировать:

• hostname устройств;
• Loopback-адреса;
• NTP;
• уровни журналирования;
• правила Information Center;
• адреса серверов LOGG.

Это позволяет централизованно управлять политикой журналирования для сотен и тысяч сетевых устройств.

Что дает подключение Huawei к LOGG

Отдельный маршрутизатор или коммутатор показывает только собственные события. LOGG объединяет журналы множества устройств и других компонентов инфраструктуры в едином пространстве анализа.

Это позволяет сопоставлять события между устройствами, восстанавливать последовательность изменений и видеть их влияние на инфраструктуру.

Множество устройств — единая картина событий.

LOGG: события, связи, влияние.