网络环境

网络安全法相关条款规定，采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。为了留存网络日志要至少180天，单位上了一台深信服的万兆上网行为12000，日在线最高IP地址数3万个左右，出口带宽最高下行近24G，上网最高超过6G，每天的日志空间在300G左右，每天有约3000万条的日志，当然这些数据是记录后得到的。

按照设备上的建议，超过2万用户数时不开流量审计，所以只开上网行为审计中的应用审计和网页内容审计，没开流量审计、没开终端接入管理。在设备上架过程中遇到了一些意想不到的问题，做了一些改变才使设备正常运行。改变后的网络拓扑图如图1所示。

图1 网络拓扑结构

问题一：上网行为的外置日志中心无法收集日志

因网络安全法要求日志要保存180天，考虑到有3万多用户，上网行为本身带的内置日志中心无法满足要求，所以选择外置日志中心。外置日志中心用服务器+专用存储来保存日志，服务器用老的IBM3650，存储用的是新的华 三UniStor X10516三台做的集群，每台是14个4TB硬盘，为提高容量采用一副本，没有采用标准的三副本配置，显示可用150TB，实际可能用到75TB。

UniStor X10516网络共享目录是在CIFS文 件 夹 下，NFS共享目录是在NFS文件夹下。服务器选用Windows 2008系统，通过网络共享的方式即\172.16.72.21把华三存储挂在服务器上，把共享文件夹映射成K盘，安装了上网行为的外置日志中心服务，日志数据存在华三存储上的这个K盘上。

外置日志中心开启服务后，发现日志数据没法收集在存储上，反复查找原因都找不到。……