1. 课程导入与平台全景
在数据中心网络运维中，Nexus 交换机长期承担高密度、低时延的转发任务。随着 VXLAN/EVPN、ACI、vPC 等架构普及，仅靠 SNMP 轮询和 CLI 逐台排查已经无法回答“这条业务流为什么慢”“这个接口丢包发生在哪一跳”“某次配置变更后谁先异常”这类问题。可观测性（Observability）要解决的不是“设备是否在线”，而是通过指标（Metrics）、日志（Logs）、链路追踪（Traces）与流数据（Flows）四类信号，还原网络内部真实发生的行为。本课程围绕 Cisco Nexus 平台，把可观测性拆成可采集、可传输、可存储、可查询、可告警的完整链路，并最终落到日志分析平台的部署与使用上。
一、Nexus 可观测性体系的四层构成
从数据产生到被消费，Nexus 可观测性体系可以划分为四个层次，理解这四层是后续所有实验的基础。
- 数据源层：交换机自身产生的信号。包括接口计数器与队列统计（如
show interface counters、show queuing interface）、硬件转发表与 TCAM 使用率、CPU/内存、环境温度与电源、Syslog 事件、NetFlow/IPFIX 流记录、ERSPAN 镜像流量、以及 Streaming Telemetry 推送的模型化数据。 - 采集与传输层：决定数据以什么协议、什么频率离开设备。传统方式为 SNMP 轮询与 Syslog UDP 514 推送；现代方式为 gNMI/gRPC Dial-out 或 Dial-in 的 Streaming Telemetry，可按秒级甚至亚秒级推送，并支持基于 YANG 模型的结构化字段。
- 存储与处理层：时序数据库（如 Prometheus、InfluxDB）保存指标，日志平台（如 Elasticsearch/OpenSearch、Loki）保存日志，流分析组件保存 Flow 记录。处理层负责字段解析、标签归一化、采样与降噪。
- 消费与可视化层：Grafana 看板、Kibana 检索、告警规则引擎、以及面向故障复盘的关联分析界面。
这四层之间是单向的数据流关系，但排障时是反向追溯：从看板异常点出发，回到指标标签，再定位到具体设备与接口，最后用日志确认事件时间线。下面的 SVG 展示了这一体系的数据流向与各层关键组件。
二、日志分析平台在体系中的定位
日志分析平台是可观测性体系里“事件真相”的载体。指标能告诉你“接口丢包率在 14:32 突增”，但只有日志能告诉你“14:32:07 该接口因 %ETHPORT-5-IF_DOWN_LINK_FAILURE 进入 down 状态，14:32:19 恢复”。因此日志平台的核心价值在于三点：时间线还原、关键字与字段检索、跨设备关联。
在 Nexus 场景中，日志来源主要有：控制台/终端日志、Syslog 本地缓冲区（show logging logfile）、远程 Syslog 服务器、以及 Streaming Telemetry 中的事件类模型。日志平台通常采用 Elasticsearch/OpenSearch 作为存储与检索引擎，Filebeat 或 Logstash 作为采集与解析组件，Kibana 作为查询界面。一个典型的日志字段结构应至少包含：@timestamp、host.name（设备名或管理 IP）、severity（0-7）、facility、message、interface（若可解析）。
三、学习路径：从信号到平台
本课程按“先看懂信号，再搭平台，最后做分析”的顺序推进，建议按以下路径学习：
- 信号认知：掌握 Nexus 上指标、日志、Flow、Telemetry 四类信号的产生位置与查看命令，能独立用 CLI 验证数据是否存在。
- 采集配置：完成 Syslog 远程输出、NetFlow 导出、Streaming Telemetry 订阅三项基础配置，并确认接收端能收到数据。
- 平台搭建：部署 Elasticsearch/OpenSearch + Filebeat + Kibana，完成日志采集、字段解析与索引模板设置。
- 查询与分析：用 KQL/Lucene 语法做关键字检索、时间范围过滤、字段聚合，构建接口 down、BGP 邻居震荡、配置变更等典型场景的检索式。
- 告警与复盘：基于日志频率与关键字设置告警规则，结合指标看板完成一次完整故障复盘。
四、实验环境准备
为保证实验可复现，建议准备如下环境。若使用物理设备，需至少一台支持 NX-OS 9.3 及以上版本的 Nexus 交换机；若使用虚拟环境，可使用 Nexus 9000v 或 CML（Cisco Modeling Labs）中的 Nexus 镜像。日志平台侧建议使用一台 Linux 虚拟机（4 vCPU / 8 GB 内存 / 100 GB 磁盘起步），安装 Docker 与 Docker Compose，便于快速拉起 Elasticsearch、Kibana 与 Filebeat。
| 组件 | 建议规格/版本 | 用途 |
|---|---|---|
| Nexus 交换机 | NX-OS 9.3(5) 或以上 | 产生指标、日志、Flow、Telemetry 数据 |
| Linux 虚拟机 | Ubuntu 22.04 / 4 vCPU / 8 GB | 承载日志分析平台 |
| Elasticsearch / OpenSearch | 8.x / 2.x | 日志存储与全文检索 |
| Kibana / OpenSearch Dashboards | 与存储引擎版本一致 | 日志查询与可视化 |
| Filebeat | 8.x | 日志采集与字段解析 |
| Grafana | 10.x | 指标看板与告警 |
在交换机侧，先确认基础连通性与时间同步，这是日志时间线可用的前提：
feature syslog
logging server 192.168.10.50 5 use-vrf management
logging source-interface mgmt0
ntp server 192.168.10.1
clock timezone CST 8 0
show logging server
show ntp status上述配置中，logging server 后的数字 5 表示只发送 0-5 级日志；use-vrf management 指定通过管理 VRF 发送，避免与业务流量混用；logging source-interface mgmt0 保证日志源地址稳定，便于平台按设备归类。配置完成后，用 show logging server 应能看到服务器状态为 active，用 show ntp status 应看到时钟已同步（Clock is synchronized）。若时间未同步，后续在 Kibana 中按时间范围检索时会出现日志“漂移”，这是初学者最常见的排障陷阱之一。
show interface 与 show processes cpu 完成。完成环境准备后，你应当能够回答三个问题：数据从交换机的哪个功能模块产生？通过什么协议、什么地址、什么频率离开设备？到达平台后以什么字段被存储和检索？这三个问题贯穿本课程后续所有章节，也是判断一次可观测性部署是否真正可用的基本标准。