双机日志怎么处理
双机环境下两台设备都会产生日志，如果都发往同一平台，同一会话在平台里可能出现两条记录。处理方式有三点：两台都要配置日志外发，否则切换后日志直接中断；日志要带主机名或设备标识以便区分来源；平台侧约定去重规则避免统计数量翻倍。切换前后日志的连续性本身也是审计关注点。
基本信息
| 配置要求 | 两台设备都配置日志外发，格式保持一致 |
|---|---|
| 来源标识 | 日志带主机名或设备标识，便于区分与筛选 |
| 去重 | 平台侧按会话标识与时间窗口约定去重规则 |
| 审计 | 切换前后日志连续性要在演练中核对 |
典型使用场景
- 双机接入日志平台：确认两台都在发送并且能被区分
- 统计口径核对：确认同一会话不因双机重复计入
- 切换演练：核对切换时间点前后的日志连续性
- 故障排查：按设备标识筛选某一台的日志单独分析
- 平台调优：为双机日志设计独立字段与视图
核对步骤
核对步骤
# 1. 确认两台设备的日志均已到达平台，时间戳正常
# 2. 在平台统计中按设备标识区分来源，核对两台都有数据
# 3. 抽样一条会话，确认是否出现两条记录
# 4. 与平台侧约定去重规则（按会话标识加时间窗口）
# 5. 演练切换后检查日志是否连续，无时间缺口处理要点
| 要点 | 做法 | 不做会怎样 |
|---|---|---|
| 两台都外发 | 双机各自配置日志目标 | 切换后日志中断，出现审计缺口 |
| 来源可区分 | 日志含主机名或设备标识 | 无法判断事件来自哪台设备 |
| 约定去重 | 平台侧按会话去重 | 告警与统计数量翻倍 |
| 连续性核对 | 演练时检查时间线 | 审计问及切换期间记录时无法回答 |
只给主机配置日志外发、备机不配置是常见疏漏：平时看起来一切正常，等真正切换后才暴露日志中断。