ACG1000-ME 日志审计只能识别到部分IP地址流量

ACG1000-ME日志审计只能识别到部分IP地址流量的可能原因及解决方法如下：

可能原因分析

1. 识别范围限制

   • 设备默认的IP识别范围（如private地址）未包含部分内网IP段，导致无法审计这些IP的流量。
   • 解决：在设备配置中将识别范围修改为any，确保所有IP地址均被覆盖。

2. 策略接口配置错误

   • 若设备为旁路部署，策略中源/目的接口若指定为镜像口，会导致流量无法匹配策略（镜像流量仅接收不转发）。
   • 解决：在IPv4策略中将源和目的接口设置为any。

3. 流量镜像不完整

   • 交换机镜像配置仅捕获单向流量（如仅入方向），导致ACG无法解析完整的HTTP会话（需双向流量）。
   • 解决：检查交换机镜像配置，确保镜像接口的流量方向为both（双向）。

4. 软件版本或数据库问题

   • 设备升级后，新版本数据库与旧日志字段不兼容，导致部分日志无法记录。
   • 解决：通过命令行重置数据库并重启设备：
     复制

     H3C> enable H3C# recover database H3C# reboot

5. 日志过滤或服务器配置问题

   • 日志未启用发送到远端服务器，或服务器IP、端口、加密配置错误。
   • 解决：检查日志服务器配置（log server enable、IP/端口匹配），确保日志过滤策略未禁用相关日志类型。

6. 终端识别异常

   • 未正确识别用户为实名（如IP未绑定用户），导致审计日志缺失。
   • 解决：配置用户识别策略，或检查认证方式（如IP/MAC绑定）。

操作建议

1. 验证流量路径

   • 使用设备抓包工具确认目标IP的流量是否到达ACG，确保镜像流量完整（双向）。

2. 检查配置关键项

   • 部署模式：旁路部署需配置旁路模式，策略接口设为any。
   • 识别范围：全局设置中IP识别范围需覆盖目标IP段。
   • 日志服务器：确保log server ip-address和端口正确，未启用加密（除非服务器支持）。

3. 版本与授权检查

   • 确认设备软件版本与日志平台兼容，特征库为最新，且审计功能已授权。

4. 日志存储状态

   • 检查硬盘或Flash存储状态，若存储空间满（超过95%），需清理旧日志。

参考案例

• 案例1：某局点因内网IP段（2.0.0.0/23）未包含在private识别范围，导致日志缺失。修改为any后解决。
• 案例2：旁路部署策略接口误设为镜像口，改为any后日志正常。
• 案例3：交换机镜像仅配置单向流量，补充both后ACG可审计完整URL。

通过上述步骤排查，可定位并解决日志审计不全的问题。若仍异常，建议联系技术支持并配合抓包分析。