日志对于网络安全非常重要。它记录了系统每天发生的各种事情。你可以查看错误的原因或者攻击者被他攻击时留下的痕迹。
Cisco是目前应用比较广泛的路由器，在很多行业系统中都有广泛的应用。以下是日常工作中积累的一些设置Cisco路由器日志的经验。这些实例已经过调试，并在实际应用中投入使用。我们可以使用路由器日志快速定位和排除故障。
路由器是各种信息传输的枢纽，广泛应用于企事业单位的网络建设中，承担着局域网之间以及局域网与广域网之间连接的重要任务。
一、什么是路由器日志？
路由器的一些重要信息可以通过syslog机制记录在内网的Unix主机上。路由器运行过程中，会向日志主机发送包括链路建立失败信息、包过滤信息等日志信息。通过登录日志主机，网络管理员可以了解日志事件，分析日志文件，帮助管理员定位、排查和管理网络安全。
二、路由器日志存储位置
Sysloqd为您提供了以下记录系统事件的方法：
(1)指定的远程主机
如果没有记录本地机器上的系统信息，可以记下网络中另一台主机的名称，然后在主机名前面加上“@”符号(例如(@)ccunix1.variox.int，但指定的主机必须有sysloqd)。这可以防止日志文件由于硬盘错误等原因而丢失。
(2)一般文件
这是最常见的方式。您可以指定文件路径和文件名，但必须以目录符号“/”开头，系统才会知道这是一个文件。比如/var/adm/maillog表示要在/var/adm下记录一个名为maillog的文件，如果之前没有这样的文件，系统会自动生成一个。
(3)指定的终端或其他设备
您还可以将系统记录写入终端或设备。如果将系统记录写入终端，当前正在使用终端的用户将直接在屏幕上看到系统信息(例如/dev /conso或/dev/tty1，您可以使用一个屏幕来显示系统信息)。如果将系统记录写入打印机(如/dev/！p0).然后你会有一张长长的纸，上面印着系统记录，让网络入侵者无法修改日志来隐藏入侵痕迹。
以上是syslog记录程度和记录方式的书写方法。你可以根据自己的需求记录自己需要的东西。但是这些记录总是被追加的，除非文件被自己删除，否则这些文件会越来越大。Syslog设备是网络攻击者的明显目标，因此我们应该特别注意它，通过修改日志来隐藏入侵痕迹。
养成每周(或更少)定期查看记录的习惯，将过期的记录按序号或日期进行备份。以后咨询他们也比较容易。从不录制*。*，这样一切都会被记录下来。这样一来，文件就会太大，找资料的时候也不能马上找到。当有人记录网络日志时，即使是谁ping他的主机都应该被记录，这不仅降低了系统效率，还增加了磁盘使用率。
第三，日志会被记录到什么程度？
如果您想让系统记录信息级别的事件，通知、错误、警告、关键、警报、紧急等。高于信息级别也将被记录。把上面写的第一条和第二条用小数点结合起来，就是一个完整的‘记录什么’的写法。例如，mail.info表示有关电子邮件传递系统的一般信息。Auth.emerg是关于系统安全的相当严肃的信息。Ipr.none表示不记录打印机的信息(通常在有多个记录条件时组合使用)。还有另外三种特殊符号可供应用：
感叹号(！):表示不记录当前级别及其之上的级别。
等号(=):表示只应该记录当前级别，而不应该记录它上面的级别。例如，在上面的例子中，当通常写下信息级别时，其他级别如notice.err.warning、crit、alert、emerg等。其位于信息级别之上。但如果写=info，就只能记录info。
星号(*):表示特定项目中的所有项目。比如邮件。*表示与邮件相关的任何内容都应该记录到任何程度。和*。信息将记录所有事件的信息程度。
四。系统日志设备
Syslog设备，是标准Unix的跟踪记录机制，可以通过网络记录一些本地事件或另一台主机上的事件，然后将信息写入文件或设备或向用户发送消息。
syslog机制主要基于两个重要的文件：/etc/syslogd(守护进程)和/etc /syslog.conf配置文件，syslogd的控制是由/etc/syslog.conf来完成的，syslog.conf文件表示syslogd程序的日志行为，启动时查询syslog.conf配置文件，该文件由不同程序或消息类别的单个条目组成，每个条目占一行。
为每种类型的消息提供选择字段和动作字段。这些字段用tab分隔(注意：只能用tab分隔，不能用空格键分隔)，其中选择的字段表示消息的类型和优先级；操作字段指示sysloqd在收到与选择标准匹配的消息时采取的操作。
每个选项由一个设备和一个优先级组成。也就是说，第一栏写‘在什么情况下’和‘到什么程度’。然后用TAB键跳到下一栏，继续写‘满足条件后怎么办’。
当指示优先级时，syslogd将记录两条具有相同或更高优先级的消息。每行的操作字段指示当选择字段选择给定消息时，该消息应该发送到哪里。
第一列包含什么情况和程度，中间用小数点隔开。详细设置如下：
认证系统安全和用户认证；
Cron在系统上自动排序执行(CronTable)；
守护程序的后台执行程序；
了解系统的核心；
关于打印机的知识产权；
Mai1关于电子邮件；
关于新闻讨论区；
关于syslog系统记录本身；
关于用户；
关于UNIX InterCopy (UUCP)的Uucp。
5.路由器日志功能的具体设置方法
首先，在UNIX主机上做以下工作来注册为超级用户：
其中，168.1.1.2是日志主机的IP地址。这样，在路由器上执行的一些操作将被记录在mail_debug和r2509_debug文件中。
通过查看路由器日志，可以解决大部分故障问题，也方便查询故障原因，从而更好更快的解决网络问题。
