用外部的log服务器记录

本地硬盘的作用：保存本地审计日志、Web 页面本机查询日志、生成本地报表；不影响向外网日志服务器实时发送审计日志H3C。

1. 没有硬盘：ACG 本机 Web 界面看不到审计日志，但审计日志可以实时发送给远端日志服务器

• 硬盘缺失，设备不能本地存储审计日志，Web 页面审计日志页面为空，无法在 ACG 本机查历史审计、无法生成本地报表。
• 只要正确配置【syslog 日志服务器 / 快速日志输出】，上网行为审计日志、会话 flow 日志、安全日志会实时通过网络推送到外接日志服务器，日志服务器侧可以完整留存、查询审计记录，满足事后审计合规要求H3C。

注意：日志是 “实时转发”；如果 ACG 与日志服务器网络中断，中断期间产生的审计日志会丢失（设备无硬盘缓存，不能本地暂存积压日志），网络恢复后不会补传断网期间日志。

2. 两种输出模式（ACG1000‑AI‑30）

• 方式 A：Syslog 信息中心输出：适合日志量不大场景，输出文本格式审计日志。
• 方式 B：快速日志输出（推荐，大流量必选），二进制 flow 日志，性能更高，包含完整上网行为审计字段，对接 CSAP / 第三方日志审计平台优先使用该模式H3C。

3. 必须确认两点配置，否则服务器收不到审计日志 ① 审计策略已经开启对应审计动作（URL、应用、IM 等审计必须启用）；只配日志服务器，没开审计策略，不会产生审计日志。 ② 放行 ACG 到日志服务器 UDP514（syslog）/ 自定义端口的互通安全策略。
4. 关键限制

• ❌本机 Web：不能查看历史审计日志，报表功能不可用（依赖本地硬盘存储）。
• ⚠️网络断连时，断网时间段审计日志直接丢失，无本地硬盘做缓冲。
• ✅网络正常时，所有审计日志实时上送给日志服务器，服务器侧可以完成查询、审计、报表。

实施建议

1. 优先配置快速日志输出指向日志审计服务器，不要只用普通 syslog。
2. 保证 ACG 与日志服务器链路稳定；有条件可以后期加装 M.2 硬盘，兼顾本地查询 + 远端双留存。
3. 定期在日志服务器验证审计日志接收情况，确认 URL、应用行为日志正常上报。

一句话总结：无硬盘本机不能存审计日志；配置正确情况下审计日志可以同步发送到远端日志服务器；断网时段日志会丢失，不会补传。

审计日志可以通过配置日志服务器可以向指定的IP地址发送设备的日志信息，还可同时配置日志服务器接收日志信息的端口号

H3C SecPath ACG1000日志配置指导