交换机
园区网交换机
数据中心与云计算交换机
行业精选交换系列
工业交换机
意图网络指挥官
无线
放装型无线接入点
墙面型无线接入点
智分无线接入点
室外无线接入点
场景化无线
无线控制器
行业精选无线系列
物联网
安全
大数据安全平台
下一代防火墙
安全网关
检测管理安全
安全服务
安全云
统一运维
身份管理
服务产品
运营商
政府
金融
互联网
电力能源
制造业
高教/职教
医疗卫生
交通
地产酒店文旅·连锁服务
公共安全
首先要保证elog上添加的设备ip确实是npe设备发的报文的源ip。
通过不断输入命令:wc -l /tmp/ramdisk/* 来查看缓存文件条目数是否有增长。(npe日志记录的原则是先记录在centos的临时文件目录/tmp/ramdisk下面的NPERECORD[0-3].txt 文件下面每条记录一行,只有这个文件行数达到了50W条或是整点过五分钟后才会存储在数据库里面。存储在数据库里面还必须要有索引才会显示。索引如果数据库里面可以看到日志条数的话。页面还没有显示则需要耐心等待。)
3)如果缓存条目数有增长,则需要查看数据库中是否有相应表项与索引。(具体步骤为先进入elog数据库,然后查询当前时间数据表是否有条目数。具体命令见需要收集的命令)。如果数据库表项和索引都正常,则等待1个小时看日志是否能显示,若还是无显示则寻求4008帮助。如果数据库表项和索引不正常,尝试进入数据库重建索引( call sp_preparetable();),如果重建后还是不正常则寻求4008帮助。
4)如果缓存文件里面没有增量,/tmp/ramdisk下面文件的字节数一直没递增,这个时候需要用tcpdump来抓包分析了。抓取报文然后对报文中日志格式进行分析。如果格式不正确则需要检查设备的配置。
抓包是tcpdump -i 加网卡接口名称 默认的是eth0 如果是多网卡可以用ifconfig来查看 tcpdump -i eth0 port 10000 指定端口如果要过滤ip地址 如下: tcpdump -s -i eth0 | grep 1.1.1.1 退出抓包是ctrl+z或者ctrl+c。
如果抓取的报文正常,但是临时文件里面没有增量,则需要看npeserver进程是否完整。ps -ef| grep npeserver
需要搜集的命令集合:
[root@localhost ~]# more /etc/redhat-release #查看centos版本呢
[root@localhost ~]# getconf LONG_BIT #查看系统位数
[root@localhost ~]# date #查看系统时间
[root@localhost ~]# uptime #查看系统启动时间
[root@localhost ~]# more /opt/mysql/my.cnf | grep datadir #查看数据库安装根目录
[root@localhost ~]# df -h #查看磁盘空间
[root@localhost ~]# more /opt/jboss/server/default/deploy/elog.war/WEB-INF/config/property/system.properties | grep Version #查看elog版本信息
[root@localhost ~]# ls -lh /tmp/ramdisk/ #查看缓存文件增量大小
[root@localhost ~]# wc -l /tmp/ramdisk/* #查看缓存文件条目数
[root@localhost ~]# tcpdump -i eth0 port 10000 | grep X.X.X.X(npe设备的IP) #过滤抓取收到NPE发送的报文
[root@localhost ~]# tcpdump -i eth0 port 514 | grep X.X.X.X(ACE或防火墙的IP) #过滤抓取收到ACE或防火墙发送的报文
[root@localhost ~]# tcpdump -i eth0 port 5140 | grep X.X.X.X(ACE5.0的ip) #过滤抓取收到ACE5.0发送的报文
[root@localhost ~]# /opt/mysql/bin/mysql UAS #进入elog数据库(数据库名为UAS)
[root@localhost ~]# tcpdump -s -i eth0 -w /root/XX.pcap #对eth0口进行抓包,并保存到root目录下,名称为XX.pcap
mysql> SELECT COUNT(*) FROM NPE_RECORD_2012070901; #查询2012年7月19号凌晨一点的NPE日志条目数
mysql> show index from NPE_RECORD_2012070901; #查询2012年7月19号凌晨一点的NPE索引条目数
mysql> show index from NPE_RECORD_2012070901; #查看数据表NPE_RECORD_2012070901的索引信息
NPE 的 日 志 信 息 表 名 为 NPE_RECORD_yyyymmddhh,ACE 的 日 志 信 息 表 名 为 ACE_URL_yyyymmddhh,RG-WALL NAT 日志信息表名: RGWALL_NAT_yyyymmddhh, RG-WALL URL 日志信息表名: RGWALL_URL_yyyymmddhh.