迎检时常见的一类被动局面是：设备一直在跑，但真要调日志时发现——留存时间不够、字段缺了几项、导出的格式对不上，或者时间对不上导致无法与实名信息关联。在东创伟业做过的公共场所无线合规项目里，日志合规的技术核心是四件事：采得全、存得住、对得上、导得出。下面按这四件事展开。
一、采得全：日志要素核对清单
一次可溯源的上网记录，通常需要包含以下要素： 用户标识：手机号、证件号、房号加姓名等实名结果；常见问题：只有手机号、无实名关联； 终端标识：MAC 地址；常见问题：终端随机 MAC 导致不可追溯； 内网地址：终端分配到的内网 IP；常见问题：缺失； 公网地址与端口：NAT 转换后的地址与端口段；常见问题：只记了公网 IP，没记端口段； 访问目标：目的 IP、域名或 URL；常见问题：只有目的 IP，无 URL； 时间：上线时间、下线时间、访问时间；常见问题：时间精度不足或时区错误； 上下线记录：会话的开始与结束；常见问题：只有访问日志，无上下线记录。
高发缺陷是 NAT 端口段缺失：多个终端共用一个公网地址时，只有 IP 没有端口段，无法把一条公网访问记录还原到具体终端，溯源链路断在最后一环。
二、存得住：留存期与容量核算
按网络安全法第 23 条相关要求，网络日志留存不少于六个月，工程上通常按 180 天规划。
容量估算方法（可按现场数据替换参数）： 日均日志量约等于 日均活跃终端数 乘以 单终端日均记录条数 乘以 单条记录大小 所需容量约等于 日均日志量 乘以 180 乘以 冗余系数
举例说明口径：若单条记录按数百字节估算、单终端日均记录量在数千条量级，终端规模上百时，180 天的原始日志量通常在数百 GB 到 TB 量级——具体数值必须用现场实测数据代入，不能按统一数字套用。
容量侧的常见隐患： 只按当前日志量配置磁盘，未考虑业务增长与高峰期波动； 日志表自动清理周期短于 180 天； 磁盘写满后覆盖策略未设定，导致老日志被提前清掉； 日志与业务数据共用存储，业务扩容时挤占日志空间。
三、对得上：时间同步与关联一致
日志能被采信的前提是时间准确、且各系统时间一致。
- 统一时间源：认证设备、出口设备、日志服务器、交换机与摄像头应指向同一 NTP 源；
- 时区口径：设备日志常用 UTC，展示层按本地时区转换，核对时不要混用；
- 时间偏差检查：定期比对各设备时间，偏差过大时关联查询会错位；
- 终端随机 MAC：若按 MAC 关联，需提示用户关闭随机 MAC 或改用账号维度关联。
验证方法：取一条刚发生的访问记录，反向查到实名信息与上下线时间，能完整串起来，说明关联链路是通的。
四、导得出：格式与演练
技术整改要落到“能按标准格式导出”：
- 导出字段与公安标准格式要求对齐，包含前述全部要素；
- 导出方式支持按时间范围、账号、终端等维度检索；
- 导出演练：上线后与每次重大变更后各做一次，验证从请求到拿到文件的完整链路；
- 留存归档：导出文件本身也要纳入管理，避免导出后即删。
建议在内部建立一份《迎检材料清单》，包含实名认证记录、日志留存记录、导出样例、设备台账、制度文件，检查时可直接调取。
五、合规自检清单（上线前逐项核对）
采集侧 实名信息、终端 MAC、内网 IP、公网地址与端口段、访问目标、时间要素完整； 上下线记录与访问记录同时留存； 可出公网的电视终端、客控设备等已纳入审计范围。
存储侧 留存周期按不少于六个月（通常按 180 天）规划并实测验证； 容量按实测日志量 乘以 180 天估算并留冗余； 磁盘水位告警与自动清理策略不会误删未满留存期的日志。
时间侧 所有相关设备指向同一 NTP 源，时间偏差在可接受范围； 时区口径统一，展示与导出一致。
导出侧 可按标准格式导出，字段完整； 支持按时间、账号、终端、地址等维度检索； 导出演练已做并留档。
管理侧 按公安部第 33 号令相关要求完成备案与安全保护技术措施落实； 制度文件与台账归档； 迎检联系人与流程明确。
六、常见缺陷与整改动作
常见缺陷与整改： 缺 NAT 端口段：开启 NAT 日志并记录端口段；验证一条公网记录可还原到具体终端； 留存期不足：调整清理策略并扩容；验证可检索到 180 天前的记录； 时间不一致：统一 NTP 与时区；验证各设备时间偏差收敛； 随机 MAC 导致无法关联：引导关闭或改为账号维度；验证关联查询成功； 导出格式不符：按标准格式调整导出模板；验证导出样例通过核对； 电视终端未纳入：按可出公网的终端管理；验证电视终端记录可查。
回退：日志策略与导出模板变更前留档；扩容操作安排在低谷时段，保留原存储直至新存储验证通过。
七、避坑小结
- 只做认证不做日志，合规不闭环，两者是一条链上的两端；
- 端口段是溯源的关键字段，缺了它前面的记录都白记；
- 时间不同步会让关联查询失效，且很难在迎检现场临时修正；
- 容量要按实测算，套用统一数字容易在半年后出问题；
- 演练要常态化，只在迎检前才做首次导出，风险高。
速查：日志合规整改 字段完整：不达标表现为缺端口段、缺 URL；整改方向为开启完整日志采集； 留存时长：不达标表现为调不出半年前记录；整改方向为扩容加调整清理策略； 时间准确：不达标表现为关联错位；整改方向为统一 NTP 与时区； 终端关联：不达标表现为随机 MAC 导致查不到；整改方向为关闭随机 MAC 或账号维度； 导出能力：不达标表现为格式不符、检索不到；整改方向为调整导出模板并演练。
常见问题（FAQ）
Q：上网日志留存六个月是按自然月还是按天数？ A：按网络安全法第 23 条相关要求，网络日志留存不少于六个月。工程上通常按 180 天规划并留一定余量，以避免临界日期的记录被清理策略提前删除。具体口径以属地网安要求为准，配置清理策略时建议按天数设置并实测验证，而不是按自然月估算。
Q：日志里一定要记录 URL 吗？ A：取决于需要对哪些要素进行留存与溯源。常见的完整要素包括实名信息、上下线时间、终端 MAC、内网 IP、NAT 后的公网地址与端口段、访问目标等。只记目的 IP 不记 URL 时，还原访问内容的能力会受限；是否必须记录 URL 以属地网安的具体要求为准，建议按较完整的要素集配置，避免后期补采困难。
Q：摄像头、电视这些设备要不要纳入日志审计？ A：判断标准是“能否访问公网”。摄像头一般走内网或专网，按内网设备管理即可；电视终端若能打开应用商店、在线点播或浏览器，本质上就是一台上网终端，应与住客手机一样纳入准入与日志审计范围。只收内网组播、不出公网的电视终端按内网设备管理。
