可靠 syslog 与 601 端口
601 端口的 IANA 登记名是 syslog-conn，对应 RFC 3195 定义的可靠 syslog 服务，登记说明为 Reliable Syslog Service。经典 syslog 走 UDP 514 不保证送达，RFC 3195 在 BEEP 之上补充了确认与重传语义，让日志传输具备可确认的可靠性。由于 BEEP 体系部署较少，实际使用远不如 514 与基于 TLS 的 6514 常见。
基本信息
| 服务 | syslog-conn（Reliable Syslog） |
|---|---|
| 端口/协议 | TCP 601 与 UDP 601 |
| 规范 | RFC 3195 |
| 可靠性机制 | 基于 BEEP 的确认与重传 |
| 常见替代 | 514 为经典 syslog，6514 为 TLS 传输 |
| 安全等级 | 仅日志采集网段可达 |
典型使用场景
- 日志集中采集：对送达有要求的场景选用可靠传输
- 合规留痕：需要确认日志未在链路上丢失
- 迁移评估：对比不同传输方式的可靠性与成本
- 排障：区分发送侧未配置与接收侧未监听
- 安全审计：核对日志通道来源是否受控
监听与链路观察
监听与链路观察
ss -lntup 'sport = :601' # 查看本机是否监听
sudo lsof -i :601 # 反查占用进程
sudo tcpdump -n 'port 601' # 观察链路上是否有日志流量
# 客户端与接收端的配置项名称随实现不同，以对应产品文档为准传输方式对照
| 方式 | 端口 | 可靠性 |
|---|---|---|
| 经典 syslog | UDP 514 | 不确认送达 |
| 可靠 syslog | TCP 601 | 带确认与重传 |
| TLS 传输 | TCP 6514 | 加密并确认 |
| 本地文件 | 本机存储 | 取决于存储与轮转策略 |
运维要点
- 发送端与接收端的时钟同步，避免日志时间错乱影响溯源
- 接收端磁盘与队列容量纳入监控，防止写满后丢日志
- 根据合规要求确定保留周期，并落实轮转与归档
- 日志通道限制来源网段，必要时启用加密传输
- 改动采集配置后抽样验证关键设备与主机的日志是否到达
不少系统把日志同时发往多个目标，出现重复记录属于正常现象。排查日志缺失时先核对发送侧配置的目标与格式，再看接收端是否按来源分类存储。
日志里常包含账号、地址与业务参数，属于敏感数据。传输通道应限制来源与访问范围，必要时启用加密传输，避免在不可信网络中以明文传递。