选型的正确顺序是"先算日志量和并发，再看部署形态，最后才比功能清单"。反过来先拿一张功能表挑产品，十有八九会买到两种结果：要么性能不够，上线就被带宽打垮；要么功能堆满，一半的模块从来没点开过。

一、先量三个数，别先看功能表

1. 出口带宽总量。把各节点带宽加总，再乘 1.2 留出增长余量。这个数决定要几路采集、单机能扛多少流量。
2. 接入用户数与活跃 IP 数。IDC 托管看机柜数量和已分配的 IP 段，ISP 看宽带账号数。它决定账号库规模和并发查询压力。
3. 日志日增量。粗算方式：1Gbps 出口按 8 到 15 MB/s 记录（含连接五元组与 URL 摘要），乘以 86400 秒，再乘以 180 天，就是必须实际落盘的原始日志量。

这三个数出来，部署形态基本就定了，剩下的只是比价格、比交付。

二、三种形态，各自适合谁

软件版。装在机房现有的 x86 服务器或虚拟机上，利旧硬件，成本最低，部署也灵活。适合单机房、出口在 10Gbps 以内、自己有运维人手的场景。代价是服务器、磁盘、扩容都得自己管。

一体机。软硬件预装调好，上架接线就能用，交付快，责任边界清晰。适合没有专职安全运维团队、或者要赶在迎检前快速上线的机房。同样处理能力下单价高于软件版，但省掉选硬件和反复调试的时间。

集群版。采集、分析、存储分层部署，多节点横向扩展，能汇总多机房数据。适合出口 20Gbps 以上、多节点多机房，或者要做集中管控的 IDC、CDN、云服务商。

三、按规模对照（经验参考，不是标准）

带宽只是入口指标，最终要拿实测的日志增量和并发查询数校准一次。同样是 10Gbps，全是短连接的业务，日志量可能是长连接业务的好几倍。

还有一种情况容易算漏：机房既做自营接入，又做资源出租。这时一套系统要同时满足 IDC 和 ISP 两套口径，账号、IP、机柜信息得能互相对上，报规模时按两套指标分别核算，别只按大的那套报。

四、功能表上看不出来的 5 个硬指标

1. 对接能力。能不能按当地通信管理局要求的接口和报送格式上报，接口版本升级时谁负责适配。这一条不过，功能再多也用不上。
2. 日志留存与查询。能不能撑满 6 个月且不滚动覆盖；给一个 IP，几分钟内能不能查出某时段的访问记录和对应接入账号。
3. 冗余方式。双机是主备还是双活，切换要多久，切换过程中日志会不会断。这决定故障时能不能保住证据链。
4. 扩容路径。带宽翻倍时是加授权、加机器，还是整机换掉。这条直接决定三年后的总成本。
5. 信创适配。是否要跑在麒麟、统信等国产操作系统和达梦、人大金仓等国产数据库上，提前要适配案例，别等验收时才发现跑不起来。

五、三件容易被忽略的非技术事

交付周期。一体机有备货和物流周期，集群要现场调试和联调，迎检前一个月才启动通常来不及。按合同倒排，把上线时间写进去。

授权口径。按带宽、按 IP 数还是按节点数计费，扩容时怎么算，超了会不会限速。这些都要在合同里写清楚，别只听口头承诺。

谁来运维。软件版要自己盯磁盘和进程，一体机和集群一般带运维服务，问清响应时限和升级方式，以及出问题时是远程还是到场。

六、小结

先算清带宽、用户数、日志量，再对号入座选形态，最后才比功能清单。把对接、留存、冗余、扩容这四项问到具体数字，选型这件事基本不会翻车。

我们自研的 IDC 信安、ISP 信安和 CDN 信安三套系统都提供软件版、一体机、集群三种交付形态，接口按属地通管局要求适配，日志留存与查询按抽查动作设计，也支持多机房集中汇总。