F100-S-G5防火墙日志保存时间咨询

这个暂时没有办法，如果半年日志量大，还是会冲掉，这种有大量日志存储需求的，建议发送至syslog服务器保存

一、 确认硬件存储条件

• 加装硬盘：要实现本地保存半年日志，必须在设备上安装一块大容量硬盘（F100-S-G5 前面板带有硬盘扩展插槽，支持插入硬盘模块）。
• 空间评估：日志能存多久取决于“硬盘大小 / 每天产生的日志量”。在开启全功能防护（如 IPS、URL过滤等）的场景下，每天可能产生数十GB日志。请确保硬盘剩余空间充足（建议剩余空间 ≥ 总容量的 30%），避免磁盘写满导致日志丢失。

二、 本地日志存储策略配置（关键）

1. 数据保存周期：将流量日志、安全策略日志等的保存周期统一设置为 180天。
2. 存储上限：建议将各模块的存储上限调高至 90% 或 95%。如果设置过低（如默认的 50%），一旦日志量突增触达上限，系统会提前清理旧日志。
3. 上限处理动作：强烈建议选择“提示”，而不要选择“删除”。如果选择“删除”，当空间占满时，防火墙会自动覆盖最早期的日志，导致实际保存时间远达不到 180 天。

三、 开启各类日志的本地归档

• DPI 业务日志（AV/IPS/URL/ACG 等）：必须手动开启硬盘归档。
• 设备操作与登录日志（管理员配置、SSH/Web 登录等）：需在系统日志设置中勾选“本地文件保存”或“归档”。

四、 合规最佳实践：配置 Syslog 外部日志服务器

• 部署日志服务器：准备一台大容量的服务器，安装 H3C 综合日志审计平台（iMC SOM/SeerAnalyzer）或第三方 Syslog 服务器（如 ELK、Splunk 等）。
• 配置日志外发：在 F100 上配置日志主机（Log Host），将安全事件、访问控制等核心日志实时发送至外部服务器集中存储。