SD-WAN日志和监控要保留什么

SD-WAN日志和监控要保留什么，按事后还能回答三个问题来留：当时走的是哪条线，谁改过策略，业务是从哪一分钟开始差的。留了一屏幕实时绿灯，三天后全没了，故障复查就没有材料。

线路质量至少留延迟、丢包和切换记录，时间要能对上分支所在的时区。只留「已切换」四个字，不留切换前的指标，以后无法判断这次切换是该切还是误切。保留时间按你们复查的习惯来。第二天就要对质的，至少留到变更验收结束。合同或审计要看一季的，就不要用只保存一天的默认设置。设备本地存不下，就送到中心的日志，并确认中心真的收到了，不是只在界面上勾选了发送。

策略变更要留修改前后的差别、操作的人和时间。只留「配置已更新」，等于没留。回滚时要能找回上一份完整配置，而不是靠人回忆昨天改了哪一行。监控账号和改配置的账号分开。所有人共用一个管理员登录，日志里永远是同一个人，出了问题无法问到具体的值班人员。

业务侧留少量、但是有用的记录。会议开始失败的时间、哪个分支打不开内部系统，由使用的人记在工单里。网络日志只有链路数字，没有工单时间，两边对不上。不必把每个人的网页记录都存下来。存多了，既占空间，也碰到员工访问记录该不该看的问题。监控范围写进说明：看线路和设备，不看个人浏览内容。

告警要少而能行动。链路断开、策略下发失败、设备失联，这几条值得半夜叫人。丢包略高就打电话，值班的人会把告警关掉。关掉之后，真的断开也不再有人看。每条告警写明第一眼看哪里、谁有权改。没有这条说明的告警，先从通知列表里拿掉。

时钟要准。分支的时间慢十分钟，日志会对到错误的会议。上线时对一次时间来源，试点里故意看一条日志的时间是不是和手机一致。不一致，先修时间，再谈指标。

日志放在哪、谁能导出、留多久，写在同一页。人离职时收回导出权限。设备退货前把日志拷走或确认中心已经有了，不要让旧设备带着配置和日志离开公司。

举一个够用的保留。切换记录带指标和时间，策略有前后差别和操作者，工单里有业务失败的时刻，告警只有断开和失联会叫人。一周后还能把某一次卡顿对上当时走的线路。

举一个不够的保留。界面只显示当前是否在线，历史被默认清掉，账号还是共用的。第二天已经说不清昨晚走的是主线还是备用。

SD-WAN日志和监控要保留什么，保留到能回答走了哪条线、谁改的、从哪一分钟开始差。答不上来，监控还只是一张实时图。