故障排查与解决
故障现象 / 场景
接到属地要求提供某时段某客人的上网记录，但酒店只能提供认证记录，无法提供完整的上网日志；或日志分散在网关、AC、认证服务器三处，无法统一导出。
排查思路（由易到难）
- 先明确属地主管部门的具体要求：留存字段、留存时长、查询与导出的配合流程；
- 盘点日志目前分布在哪些设备：出口网关（NAT 映射）、AC（终端与 AP 关联）、认证服务器（实名信息）；
- 核对留存时长是否达标，以及存储容量是否足够支撑该时长；
- 确认日志是否包含必要字段：时间、终端标识（MAC/IP）、实名标识、上下线记录、NAT 映射关系；
- 验证能否按「时间 + 标识」快速检索并导出可用格式。
解决方案
1) 在出口或认证侧统一开启日志采集，把 NAT 映射与实名信息关联存储。 2) 按属地要求设定留存时长并预留容量冗余，定期检查写入是否正常。 3) 建立查询流程与责任人：谁可以查、按什么流程审批、多久内提供。 4) 定期演练一次导出，确认格式与内容可用，而不是等真正需要时才发现缺失。 5) 日志中涉及个人信息，须限制访问权限并留存操作审计。
适配型号支持日志外发与审计的出口网关/防火墙、AC 与实名认证平台
根因总结
合规留存的难点不在「有没有日志」，而在日志是否能把「实名身份」与「上网行为」关联起来并保留足够时长。网关只有 IP、AC 只有 MAC、认证服务器只有手机号，三者不打通就查不出完整记录。
延伸知识
同一套思路适用于公安网安备案、等保测评与内部安全审计：先确定「要能回答什么问题」，再倒推需要留存哪些字段与多久。
避坑要点
不要把日志留存交给「设备默认设置」。默认往往留存时间短、字段不全，且可能因重启丢失。也不要把日志随意导出、外发，那本身可能构成个人信息违规。
三方日志，缺一不可
| 日志来源 |
记录什么 |
| 出口网关 / 防火墙 |
内外网 IP 与端口映射（NAT） |
| AC / 无线控制器 |
终端 MAC 与 AP、上线时间 |
| 认证平台 |
手机号等实名标识与认证结果 |
只有在时间轴上把三者关联起来，才能回答「某手机号在某时刻访问了什么」。这也是很多酒店「有日志但查不出」的原因。
图片素材来自免费商用图库（pixabay，摄影师 webandi），非本站项目实拍。
落地四件事
- 字段齐全：时间、MAC、内网 IP、公网 IP+端口、实名标识、上下线；
- 时长达标：按属地要求设定，并预留容量冗余；
- 可检索：能按时间 + 任一标识快速定位；
- 可导出：格式可用，且导出过程有记录。
权限与合规
上网日志包含个人信息，须做到：
- 最小权限访问（仅指定人员）；
- 查询有审批、导出有记录；
- 不随意复制、外发、截图。
定期演练
建议每半年演练一次「假设某时段某 IP 需查询」，从提需求到拿到完整记录走一遍。演练暴露的问题，远比检查配置表更真实。
本文由 58120 智能网络 原创发布。转载请注明出处并保留原文链接。
评论 0
还没有评论，来抢沙发吧。