网络出问题时，最有力的证据是日志：谁在什么时候做了什么、发生了什么错误，全都记录在案。企业路由器日志，既是排障工具，也是安全审计依据。
日志有什么
四类核心日志：系统日志（重启、配置变更、告警）、安全日志（攻击、登录失败）、会话日志（NAT/防火墙的访问记录）、调试日志（排障用，平时关）。日志是“黑匣子”：事故发生后，回看日志才能还原现场（安全审计见企业网络栏目）。
syslog集中管理
设备多了，日志散在各台机器上难查：配置syslog，把全部设备的日志集中发到一台日志服务器（Linux rsyslog或商业SIEM），统一查看、统一归档。时间同步（NTP）很重要——日志时间不准，复盘就乱套（时间同步见企业网络）。
日志怎么看
排障四步：定位时间窗口→过滤相关设备/模块→找“异常条目”（错误、告警、拒绝）→结合配置还原。安全场景：登录失败暴增=暴力破解，转发告警频繁=链路劣化。日志不是“看热闹”，而是“找原因”（排障见问题排查栏目）。
日志管理的分寸
日志全开会占用存储和性能：按“重要度”分级，生产环境至少保留“系统+安全”；保留周期按合规要求（通常90天以上）；日志服务器做好备份。别忘了：日志本身也是“敏感数据”，要限制访问（安全见选购科普栏目）。
企业路由器日志，是“网络的账本与黑匣子”：集中收集、定时归档、排障审计两用。日志记得住，事故才说得清。
日志归档
日志按“重要度分级”保留：系统+安全日志至少90天，存满自动轮转，别让它“撑爆”硬盘。
