用日志分析平台追踪路由器行为，排查网络卡顿真不难

家里WiFi突然变慢，视频缓冲、游戏掉线，你第一反应是不是重启路由器？其实很多问题藏在日志里——只要打开路由器后台的系统日志，或者连上专业日志分析平台，就能看到设备每分钟干了啥。

行为追踪不是玄学，是看懂日志在说什么

比如某天下午3点整，全屋设备集体卡顿。进日志分析平台一查，发现那会儿路由器反复上报一条记录：

2024-06-12T15:00:02Z WARN dhcpd: lease 192.168.1.105 expired, reassigning to 192.168.1.201

再往下翻几条，同一秒内有7台设备集中申请IP，DHCP池快被挤爆了。这不是运气差，是智能音箱、扫地机器人、空调同时联网同步数据导致的资源争抢。

路由调优，从日志里找“异常节奏”

正常路由器日志是匀速滴答的，像心跳；出问题时，要么突然密集刷屏（比如ARP风暴），要么长时间静默（CPU过载后日志进程挂了）。在日志分析平台里设个简单规则：

count by (src_ip) over (5m) > 200

5分钟内同一IP发超200条ARP请求？基本可以断定有设备中毒或网卡异常。不用抓包，直接定位到那台笔记本——它正疯狂广播MAC地址。

别只盯着错误日志，成功日志也藏线索

很多人只搜“error”“fail”，但调优关键常在“success”里。比如开启QoS后，日志里频繁出现：

2024-06-12T10:22:17Z INFO qos: applied policy 'video-priority' to 192.168.1.88:554

可手机还是卡。继续查这条流的后续：

2024-06-12T10:22:18Z WARN qos: bandwidth cap exceeded for 192.168.1.88, throttled to 2Mbps

原来带宽限制设低了，把4K视频生生压成了720P流速。

小厂路由器也能做行为追踪

没上ELK或Graylog？别急。OpenWrt自带logread命令，配合本地脚本就能导出行为快照：

logread -t -e 'dhcp' -e 'qos' -e 'drop' | awk '{print $1,$2,$NF}' | head -20

输出类似：
Jun 12 10:22:17 drop
Jun 12 10:22:18 qos
Jun 12 10:22:19 dhcp
一眼看出策略生效顺序和丢包时间点，比盲调参数靠谱得多。