WiFi实名认证系统上线后，不少人以为"能认证"就算合规了，其实远远不够。公安对公共场所WiFi的监管核心是两条：实名认证和日志留存。实名解决的是"谁在上网"，日志解决的是"上了什么网、什么时候上的"。后者记录什么、留多久，才是合规审查里最容易出问题的地方。很多单位认证做得漂亮，日志一查却千疮百孔。

日志留存的两个法定口径

聊日志留存，必须先分清两个数字。一个是网络安全法第二十一条第三项规定，采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。这是基础性法定要求，面向所有网络运营者。另一个是公安部82号令，对互联网上网服务营业场所要求上网日志保留60天以上。两个口径针对的对象和场景不同，但实务里很多方案把这两个数混为一谈，写一句"日志保留60天"就过去了，真要按网络安全法较真，六个月的底线才是更该守住的。留存策略按就高不就低来定，至少在六个月以上，才稳妥。

日志内容远不止认证记录

一个常见误区是，把日志理解成"谁认证了、什么时候上的网"。这只能算认证日志，离合规要求的上网行为日志差得很远。真正要留的，至少包括源IP、目的IP、NAT转换日志、URL访问记录、DNS查询记录，以及认证信息本身。蓝海卓越日志系统还能记录微信、QQ、虚拟身份、游戏节点、HTTP请求、文件下载、图片浏览等七层应用日志，精确到每时每刻每IP每条连接。这些细粒度数据才是公安溯源时真正要查的东西。只存认证日志、不存上网行为日志，等于实名了却追不到线，合规上是有硬伤的。

存储和检索能力是隐性门槛

日志留存还有一个容易被忽视的难点：量大、要存久、还要查得快。规模稍大的场所，每日日志量动辄几十上百G，保留六个月就是PB级的数据量。传统关系数据库存不了，存成文件又不方便检索。蓝海卓越日志系统用的是分布式结构化存储，只要存储空间足够，PB级数据也能应付，十亿数量级的检索只要5到20秒就能出结果。这个能力很关键，因为合规检查不是看你"存了没有"，而是看"出事时能不能在要求时间内查到"。存了一大堆查不出来的死数据，等于没存。

日志系统和认证系统是两套事

很多人把日志当成认证系统的附属模块，这种认知会埋坑。认证系统负责"谁能上网"，日志系统负责"上网之后发生了什么"，两者职责不同，对稳定性和存储的要求也不同。蓝海卓越的日志系统基于大数据架构，针对路由流控设备做日志的高效采集、统一管理、集中存储和统计分析，由日志采集、处理、管理、事件监测、存储、统计分析、告警响应、系统管理八个子系统构成。它和认证系统是协同关系，不是主从关系。把日志能力弱化成认证系统里一个小功能，后期日志量上来一定会出问题。

实时告警让日志从被动变主动

日志系统除了合规留存，还有一个常被低估的价值是主动告警。蓝海卓越日志支持大屏自定义面板和实时告警，异常GPS、异常流量、异常报文都能主动报出来。对网络管理者来说，这意味着日志不只是事后取证的工具，也是日常运维的探针。比如某个IP突然大量访问异常站点，系统能及时提醒，而不是等公安找上门才知道。这个能力在商场、园区这类网络环境复杂的场所，实际用处比单纯留存要大得多。

分布式部署避免单点丢失

日志留存最怕的是存储节点故障导致数据丢失。蓝海卓越日志支持分布式部署，日志主控和存储分开部署，避免单点故障造成日志丢失。对于连锁、多分支机构的场景，分布式部署几乎是必选项，因为中心节点一旦出问题，所有分支的日志都会断档。单机模式部署简单，但只适合网络规模小、日志量不大的场所。选型时要根据日志量和可靠性要求决定部署方式，不能为了省事一律上单机。

把日志当成持续运营的事

日志留存不是上线时配置一次就完事。存储容量会不会在第六个月之前被写满、检索性能会不会随数据增长而下降、上报接口有没有悄悄断了，这些都要持续盯着。不少单位验收时日志一切正常，运行半年后检查发现早期日志被自动清理了、或者存储满了新日志写不进去了，真到检查时才发现问题。WiFi实名认证系统的合规，实名是入口，日志才是长线，两套能力都要经得起时间考验，不能只盯住认证那一关。