3. 日志采集架构设计

在 Nexus 可观测性体系中，日志采集架构决定了“设备产生的日志能否可靠、安全、可追溯地到达分析平台”。如果只把日志当作随手发出的 UDP 包，一旦网络抖动、链路拥塞或安全策略收紧，就会出现丢日志、乱序、源地址不可识别等问题。本节围绕 Syslog 服务器、日志转发、TLS 加密、源接口、VRF 与带外管理网络规划，给出一套可落地的设计思路。

一、Syslog 服务器与日志转发的基本关系

Nexus 交换机本身是日志的产生者，它把不同严重级别的消息交给 logging 进程处理。默认情况下，日志只保存在本地缓冲区，重启即丢失。要长期留存并集中分析，需要把日志转发到外部 Syslog 服务器。这里的“转发”不是简单地把包扔出去，而是包含几个关键决策：发往哪个服务器、用哪个源地址、走哪张路由表、是否加密、失败时是否回退。

Nexus 支持同时配置多个 Syslog 服务器，并可为不同服务器指定不同严重级别。例如，把 severity 6（informational）发往分析平台，把 severity 3（error）同时发往运维告警平台。这样既保证分析数据完整，又避免告警通道被海量信息淹没。需要特别注意的是，Nexus 的 logging server 配置中，源接口和 VRF 是绑定在“日志发送行为”上的，而不是绑定在单个服务器上，因此规划时要先确定统一的出口策略。

二、源接口与 VRF：让日志“有身份、走对路”

源接口决定了日志包在服务器侧看到的源 IP。如果使用默认的出接口地址，日志源会随路由变化而漂移，服务器端很难按设备做归集和过滤。推荐为日志流量指定一个稳定的 Loopback 接口作为源，例如 Loopback0 或专用的 Loopback100。这样无论物理链路如何切换，服务器看到的源地址始终一致。

VRF 则决定了日志包走哪张路由表。管理流量通常放在 management VRF 中，与业务数据面隔离。Nexus 的 logging source-interface 和 logging server 都可以关联 VRF。一个常见做法是：日志源接口使用管理 VRF 内的 Loopback，Syslog 服务器也配置在 management VRF 下，从而保证日志只走带外管理网络，不占用业务转发资源，也不受业务路由震荡影响。

interface loopback100
  description Log-Source
  vrf member management
  ip address 10.10.100.1/32

logging source-interface loopback100 vrf management
logging server 10.10.200.50 6 use-vrf management
logging server 10.10.200.51 3 use-vrf management

上述示例中，10.10.100.1 是日志源地址，10.10.200.50 接收 informational 级别日志，10.10.200.51 接收 error 级别日志，两者都通过 management VRF 转发。实际地址应按现网规划替换，这里仅作为教学示例。

三、TLS 加密：从明文 UDP 到安全传输

传统 Syslog 使用 UDP 514，明文传输，容易被窃听或篡改。在合规要求较高的环境中，应启用 TLS 加密。Nexus 支持通过 TLS 将日志发送到 Syslog 服务器，通常使用 TCP 6514 端口。启用 TLS 需要几个前提：设备上要有可用的信任点（trustpoint）、服务器证书要被设备信任、客户端证书（如启用双向认证）要正确签发。

配置时，先创建信任点并导入 CA 证书，然后指定 logging server 使用 secure 模式。例如：

crypto ca trustpoint syslog-tp
  enrollment terminal
  revocation-check none

logging server 10.10.200.50 6 use-vrf management secure
logging server 10.10.200.50 port 6514

启用 TLS 后，日志传输具备机密性和完整性，但也会带来额外开销：TCP 重传、证书过期、时钟偏差都可能导致日志中断。因此必须保证 NTP 同步，并监控 TLS 连接状态。如果 TLS 链路不可用，是否回退到明文 UDP，需要根据安全策略明确决定，不能默认放任。

四、带外管理网络规划

带外管理网络是日志采集的“专用通道”。它通常由独立的交换机、独立的地址段和独立的 VRF 组成，与业务网络物理或逻辑隔离。规划时要考虑以下几点：

• 地址规划：为每台 Nexus 的管理接口和日志源 Loopback 分配独立网段，避免与业务地址冲突。
• 路由可达：管理 VRF 内要有到 Syslog 服务器的路由，通常通过管理核心交换机或防火墙转发。
• 安全策略：只允许 Nexus 管理地址访问 Syslog 服务器的 6514/514 端口，禁止反向主动连接。
• 冗余设计：至少两台 Syslog 服务器，Nexus 同时配置两个 server，避免单点丢失。
• 带宽与队列：日志量突增时，管理链路不能成为瓶颈，必要时对日志流量做限速或优先级标记。

五、整体采集链路与判断依据

把上述要素串起来，一条完整的日志采集链路是：Nexus 产生日志 → logging 进程按严重级别过滤 → 选择源接口（Loopback100）→ 进入 management VRF → 经带外管理网络 → 通过 TLS/TCP 6514 到达 Syslog 服务器 → 服务器按源 IP 和时间戳归集。判断链路是否正常，可以依次检查：源接口是否 up、VRF 内路由是否可达、TLS 握手是否成功、服务器是否收到日志、日志时间戳是否与设备一致。

从图中可以看到，日志从 Nexus 内部产生后，先经过严重级别过滤，再绑定源接口和 VRF，然后通过带外管理网络以 TLS 方式送达两台不同用途的 Syslog 服务器。NTP 同步虽然不直接传输日志，但它是时间戳准确性的前提，必须纳入规划。

六、实施检查清单

总结来说，日志采集架构设计的核心不是“把日志发出去”，而是让日志在正确的源地址、正确的 VRF、正确的安全通道和正确的管理网络中稳定流动。源接口保证身份稳定，VRF 保证路径隔离，TLS 保证传输安全，带外管理网络保证通道独立，四者缺一不可。只有把这些要素在规划阶段就确定下来，后续的日志分析和可观测性建设才有可靠的数据基础。