结论

为什么旁挂没日志

最简可行组网方案

1. 核心交换机 → 配置 本地端口镜像 / 流镜像
2. 被镜像端口：
   • 上联口（通往互联网 / 出口）
   • 或下联所有业务 VLAN 接口
3. 镜像目的端口：接 ACG1000 的 监听口（一般是 GE0/1 或 GE0/2）
4. ACG 上只需要：
   • 接口启用 审计监听模式
   • 开启应用识别 / 行为审计
   • 确保授权包含行为审计

核心交换机镜像配置（H3C 通用）

1. 定义镜像组

2. 源端口（被监控流量）

3. 目的端口（接 ACG）

4. 保存

ACG1000 侧配置要点

1. 监听口不要配 IP，不要加路由，不要做 NAT
2. 接口模式选择 监听模式 / 审计模式
3. 策略 → 行为审计 → 全部开启
4. 日志 → 实时日志 / 行为日志，立刻就能看到

常见坑（你大概率踩了其中一个）

• 只镜像了单向流量 → 日志不全或没有
• 镜像目的口接在了 ACG 的 管理口 上 → 不审计
• ACG 接口没开监听模式，当成三层口在用
• 镜像源选错了，没镜像到内网用户流量
• 镜像带宽打满，ACG 丢包 → 日志缺失

一句话总结

旁挂核心交换机却没有审计日志，你的判断很准确。问题的根源在于，旁挂模式下，ACG1000设备本身无法直接“看到”经过核心交换机的网络流量，必须通过配置端口镜像将流量复制一份给它。这就像给ACG1000配了一副“眼镜”，让它能“看”到网络中的流量。

除了镜像配置，还有一些常见的配置疏漏也会导致无日志，可以参考下面的排查清单。

⚙️ 问题原因与解决方案

1. 核心交换机未配置端口镜像（主要原因）

这是最根本的原因。在“旁挂”模式下，ACG1000只是逻辑上挂在核心交换机旁边，物理上可能只连接了一根网线用于接收镜像流量。

• 解决方案：在核心交换机上配置本地端口镜像（SPAN），将需要审计的源端口（或整个VLAN）的流量，复制一份到连接ACG1000的那个目的端口。

• H3C交换机端口镜像配置参考：
  假设 GigabitEthernet 1/0/1 是需要被镜像的源端口（连接内网），GigabitEthernet 1/0/2 是连接ACG1000的目的端口。

  <H3C> system-view

  [H3C] mirroring-group 1 local
  [H3C] mirroring-group 1 mirroring-port GigabitEthernet 1/0/1 both
  [H3C] mirroring-group 1 monitor-port GigabitEthernet 1/0/2
  注意：both 表示同时监控该端口的入方向和出方向，这通常是最佳实践，因为完整的HTTP会话分析需要双向流量。

2. 审计策略接口配置错误

在旁路模式下，ACG1000的接收镜像流量的接口是一个“只收不发”的监听口。

• 解决方案：在配置审计策略时，务必将源接口和目的接口都选择为 any。

• 原理：如果策略中指定了具体的镜像物理接口，那么流量在匹配时，会因为这个接口无法完成“转发”动作而失败，导致日志无法生成。

3. 忽略“硬盘”与“HTTPS审计”要求

• 硬盘要求：ACG1000等上网行为管理设备，通常需要安装硬盘才能存储和查询审计日志。如果设备本身没有硬盘，即便流量进来了也无法记录。

• HTTPS审计要求：默认情况下，设备可能不审计加密的HTTPS流量。如果需要审计，需要通过命令行开启全审计功能：

  H3C-ACG> enable

  H3C-ACG# configure terminal
  H3C-ACG(config)# https audit all
  此外，确保URL和特征库的License处于有效状态也很重要。

4. IP识别范围限制

设备的IP识别范围可能未包含全部内网地址。

• 解决方案：在“用户管理 > 高级选项 > 全局配置”中，将“IP识别范围”修改为 any。

5. 授权未正确激活

你提到的“授权已经续完”，但可能只是完成了在官网的激活流程。

• 最终步骤：需要将下载的授权文件上传到ACG1000设备，并在Web界面确认授权状态已变为“有效”。部分授权可能需要重启设备才能完全生效。你可以检查特征库的升级服务是否过期，这虽然不直接影响基础审计，但会影响识别准确性。

📋 综合排查清单

为确保万无一失，可以按以下顺序快速检查：

1. 核心交换机：确认端口镜像已配置，且方向为both。

2. ACG1000：

   • 确认“系统管理 > 部署方式”中，接收镜像流量的接口已设置为“旁路部署”。

   • 检查审计策略的源/目的接口是否为any。

   • 检查IP识别范围是否为any。

   • 确认设备已安装硬盘。

   • 确认授权状态为“有效”，特征库为“最新”。

3. 验证方法：在ACG1000上使用抓包工具（通常在“系统维护”或“诊断中心”），抓取接收镜像流量的接口，看能否捕获到用户的上网数据包。这是最直接有效的方法。

4. 版本兼容性：如果以上都正常，建议检查ACG1000的软件版本与日志分析平台的版本兼容性。也可在Web界面查看审计策略匹配次数，若次数为0则说明流量未匹配到策略。