华为设备 Syslog 对接运维平台实现网络故障自动告警

admin

华为设备 Syslog 对接运维平台实现网络故障自动告警

概述

将华为网络设备的Syslog日志对接到运维平台，可以实现网络故障的实时监测和自动告警，提高网络运维效率。以下是实现这一目标的完整方案。

实现方案

1. 华为设备Syslog配置

在华为设备上配置Syslog输出：

1. # 配置Syslog服务器地址
2. info-center loghost source [接口或IP]  // 可选，指定源接口或IP
3. info-center loghost [运维平台IP]
4.     [protocol [udp|tcp]]  // 默认UDP 514端口
5.     [port [端口号]]       // 如果运维平台使用非标准端口
6.     [vpn-instance [VPN实例名]]  // 如果运维平台在VPN中
8. # 配置日志级别和模块
9. info-center source default channel loghost log level [级别]  // 如debugging、informational等
10. # 或者针对特定模块配置
11. info-center source [模块名] channel loghost log level [级别]

复制代码

2. 运维平台接收配置

运维平台(如Zabbix、Prometheus+Alertmanager、ELK等)需要：

• 配置Syslog接收服务
  
• 解析华为设备Syslog格式
  
• 设置告警规则
  

华为Syslog格式示例

1. <189>Aug 15 2023 14:30:22 HUAWEI %%01IFPD/4/IF_STATE(l)[0]:Interface 1/0/1 turned UP

复制代码

格式解析：

• 1. <189>

  复制代码
  ：优先级(PRI)部分
  
• 1. Aug 15 2023 14:30:22

  复制代码
  ：时间戳
  
• 1. HUAWEI

  复制代码
  ：设备名称
  
• 1. %%01IFPD/4/IF_STATE(l)[0]

  复制代码
  ：消息ID和参数
  
• 后续内容：具体日志信息
  

3. 告警规则设置

在运维平台设置基于Syslog的告警规则，例如：

• 接口状态变化(UP/DOWN)
  
• 设备重启
  
• 配置变更
  
• 硬件故障
  
• 安全事件
  

具体实现方式

方式1：使用Zabbix

• 配置Zabbix Syslog接收：
  
• 在Zabbix服务器配置文件中启用Syslog接收
  
• 配置
  1. /etc/zabbix/zabbix_server.conf

  复制代码
  中的
  1. SyslogReceiver=yes

  复制代码
• 创建Syslog监控项：
  
• 在Zabbix中为华为设备创建主机
  
• 配置Syslog类型的监控项或使用LLD自动发现
  
• 设置触发器：
  
• 基于Syslog内容创建触发器表达式
  
• 例如：
  1. {HOST.NAME}:syslog.regexp("Interface .* turned DOWN").count(5m)}>0

  复制代码

方式2：使用ELK Stack

• 配置Logstash：
  
• 使用Syslog输入插件接收日志
  
• 使用Grok过滤器解析华为Syslog格式
  

  

1. input {
2.      syslog {
3.        port => 514
4.        type => "huawei-syslog"
5.      }
6.    }
7.    
8.    filter {
9.      grok {
10.        match => { "message" => "<%{POSINT:syslog_pri}>%{SYSLOGTIMESTAMP:syslog_timestamp} %{DATA:device_name} %%{DATA:message_id}/%{INT:severity}/%{DATA:message_type}\(.*\):%{GREEDYDATA:log_message}" }
11.      }
12.    }

复制代码

• 设置告警：
  
• 使用ElastAlert或Kibana告警功能
  
• 基于特定日志模式创建告警规则
  

方式3：使用Prometheus+Alertmanager

• 使用syslog_exporter：
  
• 部署syslog_exporter接收Syslog并转换为Prometheus指标
  
• 配置Alertmanager：
  
• 基于syslog_exporter暴露的指标设置告警规则
  
• 配置告警通知渠道(邮件、短信、Webhook等)
  

最佳实践

• 日志分级处理：
  
• 不同级别日志设置不同告警方式
  
• 关键故障(如设备DOWN)立即告警
  
• 信息性日志可汇总报告
  
• 日志过滤：
  
• 避免告警风暴，设置合理的过滤规则
  
• 例如：忽略周期性的状态保持日志
  
• 告警收敛：
  
• 对同一事件的重复告警进行合并
  
• 设置告警恢复通知
  
• 安全考虑：
  
• Syslog传输使用加密(如TLS)
  
• 限制Syslog服务器访问权限
  
• 日志保留策略：
  
• 设置合理的日志保留周期
  
• 关键故障日志长期保留
  

验证与维护

• 验证配置：
  
• 在设备上生成测试日志，验证运维平台能否正确接收和解析
  
• 触发模拟故障，验证告警是否正常
  
• 定期维护：
  
• 检查Syslog服务器状态
  
• 更新告警规则以适应网络变化
  
• 定期清理过期日志
  

通过以上方案，可以实现华为设备Syslog与运维平台的无缝对接，实现网络故障的自动检测和及时告警，大幅提升网络运维效率。