6514 是什么
6514 是 syslog over TLS 的标准端口（RFC 5425）：日志经加密连接集中发送到日志服务器，用来替代明文的 514（UDP 或 TCP）。等保与审计类合规通常要求日志传输加密、内容防篡改，6514 因此成为日志汇聚的标准答案之一。
配置要点：三个参数缺一不可
它与 514 是替代关系而非并存：同一份转发配置里写错一个符号，日志就会退回明文通道。协议为 TCP、端口为 6514、传输方式为 TLS，三项必须同时正确，只改其中一项不会生效。
基本信息
| 服务 | syslog over TLS |
|---|---|
| 协议 | TCP，应用层 TLS |
| 规范 | RFC 5425 |
| 明文对照 | 514（UDP 或 TCP） |
| 安全等级 | 采集网段，双向证书更佳 |
典型使用场景
- 合规要求下把审计日志加密转发到集中日志平台
- 跨网段或跨机房传输日志时避免明文内容被截获
- 排查日志丢失时确认端口与协议是否配置一致
- 日志服务器升级后验证客户端证书是否仍有效
- 安全核查时确认关键系统是否仍在使用明文通道
转发配置
转发配置
# /etc/rsyslog.d/50-forward.conf
# 双 @ 表示 TCP，前缀 o 表示启用 TLS
# *.* @@(o)log.example.com:6514
# 展开写法：
# *.* action(type="omfwd" target="log.example.com" port="6514"
# protocol="tcp" StreamDriver="gtls" StreamDriverMode="1")验证与排错
验证与排错
openssl s_client -connect log.example.com:6514 </dev/null | head -5 # 能否完成 TLS 握手
ss -lntp | grep 6514 # 服务端监听确认
logger -t test 'hi' # 造一条日志，观察是否送达配置组合与结果
| 组合 | 含义 | 结果 |
|---|---|---|
| 单 @ 加 514 | UDP 明文 | 出厂常见配置，内容可被截获 |
| 双 @ 加 514 | TCP 明文 | 可靠但未加密 |
| 双 @(o) 加 6514 | TCP + TLS | 合规推荐组合 |
端口正确但日志没到，先确认证书是否过期、主机名与证书是否匹配：TLS 通道对名称校验敏感，用 IP 直连经常因此失败，日志在客户端侧静默重试而不会提醒。
为什么不继续用 514
在 514 上额外套一层通用隧道也能达成加密，但双方要维护隧道与端口映射，故障排查链路会明显变长。改用标准端口承载 TLS 之后，客户端与服务端各自配置一次即可，也更容易通过合规核查。
上线建议：切换加密通道时保留本地缓冲与本地留存策略，万一网络或证书出问题仍有本地日志可查，避免审计期内出现完全无记录的情况。