1. 课程导入与平台定位

在网络运维的日常工作中，很多工程师都有过类似的经历：业务部门反馈“访问慢”，但登录设备后 display interface 显示端口无错包，CPU 和内存也正常，问题像幽灵一样时隐时现。传统“登设备、敲命令、看单点”的排障方式，面对分布式、虚拟化、多租户的现代园区网与数据中心时，越来越力不从心。原因并不复杂——网络本身已经从一个“转发黑盒”演变为一个持续产生海量状态数据的复杂系统，而运维手段还停留在“逐台设备、逐个时刻”的抽样观察上。

H3C Comware 网络可观测性与日志分析平台，正是为弥合这一落差而设计的。它并不是一个简单的“日志收集器”，而是把 Comware 设备产生的多源数据统一采集、关联、存储与可视化，让运维人员从“猜问题”转向“看问题”。理解它的定位，需要先厘清三个层次的概念：监控（Monitoring）回答“现在是否正常”，可观测性（Observability）回答“为什么不正常”，而日志分析则提供“当时究竟发生了什么”的证据链。三者叠加，才构成完整的排障闭环。

平台的核心价值：从被动响应到主动洞察

平台的价值可以概括为四个关键词：统一采集、关联分析、快速定位、趋势预判。统一采集意味着不再依赖人工逐台登录，而是通过 SNMP、Syslog、NetStream/sFlow、Telemetry 等通道，把接口流量、设备日志、告警事件、资源指标持续汇聚到平台。关联分析则解决“数据孤岛”问题——一条 Syslog 中的接口 Down 事件，可以与同一时刻的流量骤降曲线、路由协议邻居震荡日志自动对齐，形成一条时间轴上的因果线索。

快速定位体现在检索能力上：平台通常支持按设备 IP、时间范围、日志级别、模块名、关键字组合过滤，把原本需要数小时翻找的日志压缩到秒级。趋势预判则依赖历史数据的基线对比，例如某接口的广播包占比连续三天缓慢上升，平台可以在真正引发环路风暴前给出提示。这四点共同支撑起一个目标：把平均故障修复时间（MTTR）从“小时级”压到“分钟级”。

典型适用场景

平台并非万能，明确它“擅长什么”比罗列功能更重要。以下场景最能体现其价值：

• 园区网接入层故障排查：终端频繁掉线、认证失败、DHCP 获取不到地址，通过接入交换机日志与认证服务器日志的时间对齐快速定位。
• 数据中心东西向流量分析：借助 NetStream 或 Telemetry 采集，识别异常大流、微突发和端口拥塞，判断是应用问题还是网络问题。
• 设备健康度巡检：对 CPU、内存、温度、风扇、电源、光模块收发光功率做周期性采集，提前发现亚健康设备。
• 安全事件回溯：当出现异常登录、ACL 命中激增或端口扫描时，通过日志检索还原攻击路径与时间线。
• 变更前后对比：配置变更后对比变更前后的日志与流量基线，验证变更是否达到预期、是否引入新告警。

需要说明的是，平台解决的是“可观测”问题，不替代配置管理和策略下发。它更像网络的眼睛和记忆，而不是手。

整体架构：数据从哪里来，到哪里去

从数据流角度看，平台可分为采集层、传输层、处理与存储层、分析展示层。采集层由 Comware 设备自身的能力提供：Syslog 负责事件日志，SNMP 负责周期性指标轮询，NetStream/sFlow 负责流量特征采样，Telemetry 则提供高频、亚秒级的推送式数据。传输层关注可靠性与带宽占用，例如 Syslog 可配置为 TCP 传输避免丢包，Telemetry 可采用 gRPC 推送。处理与存储层完成解析、归一化、索引和冷热分层存储。分析展示层提供仪表盘、拓扑视图、日志检索和告警联动。

下面这张图展示了平台的整体数据流与各层职责，帮助建立“数据从设备到洞察”的完整链路认知。

学习路径建议

面对这样一个平台，初学者容易陷入“先学工具还是先学协议”的纠结。更有效的路径是沿着数据流反向推进：先理解 Comware 设备能产生哪些数据、这些数据在设备上如何开启和配置，再学习平台如何接收与解析，最后才是仪表盘和告警策略的定制。具体来说，第一阶段应掌握 Syslog 的级别划分（0-7，从 Emergency 到 Debugging）与输出方向配置；第二阶段理解 SNMP 的 OID 树与轮询周期对设备 CPU 的影响；第三阶段进入 NetStream 的采样比与聚合策略；第四阶段再接触 Telemetry 的订阅模型与 gRPC 编码。这条路径的好处是每一步都能在真实设备上验证，避免“平台很熟、设备不会配”的尴尬。

一个可参考的最小验证示例

假设实验拓扑中有一台 Comware 交换机（管理地址 192.168.1.1）和一台平台服务器（192.168.1.100）。在交换机上执行以下配置，将日志级别为 informational 及以上的日志发送到平台：

system-view
info-center enable
info-center loghost 192.168.1.100
info-center source default loghost level informational

配置完成后，可以手动触发一条日志进行验证，例如进入接口视图执行 shutdown 再 undo shutdown，设备会产生接口状态变化日志。此时在平台检索界面输入设备 IP 和时间范围，应能看到类似 IFNET/3/PHY_UPDOWN 的日志条目。如果平台没有收到，排查顺序是：设备与平台之间三层可达性、UDP 514 端口是否被防火墙拦截、平台采集服务是否处于监听状态。这个看似简单的验证，实际上覆盖了采集层到展示层的完整链路，是后续所有高级分析的基础。