多目标转发是什么
日志多目标转发是设备把同一批日志同时送往多个接收方，典型组合是内部 SIEM 平台加上级单位或行业监管的日志平台。每个目标的地址、端口、格式要求与可用性互相独立，所以要分别配置、分别监控。增加目标会成倍提高设备侧的资源消耗与并发连接数，规划时必须留出余量。
基本信息
| 常见场景 | 内部 SIEM 与上级监管平台并行接收 |
|---|---|
| 配置要求 | 每个目标独立配置地址端口，并独立设置可用性监控 |
| 格式 | 部分平台要求特定 syslog 格式或字段（如 RFC 5424） |
| 异常策略 | 上游断连时的本地缓存与丢弃策略要事先明确 |
典型使用场景
- 等保或行业监管要求上报：在保留内部平台的同时增加上报目标
- 集团与分支机构分级：本地平台日常运营，集团平台负责汇总
- 平台迁移过渡期：新旧平台并行接收，确认新平台稳定后再停旧
- 异地容灾：日志同时送本地与异地接收端
- 问题排查：某平台收不到日志时先核对设备侧目标配置与链路
配置要点
配置要点
# 1. 每个目标单独配置地址与端口，源接口尽量明确
# 2. 目标格式按接收平台要求设置（RFC 3164 或 RFC 5424）
# 3. 逐个目标验证：在平台检索界面确认能查到本期日志
# 4. 为每个目标设置可用性监控，断连必须产生告警
# 5. 上游长时间断连时的本地缓存与丢弃策略写入方案文档多目标注意事项
| 事项 | 说明 | 风险 |
|---|---|---|
| 格式差异 | 不同平台解析规则不同 | 格式不符导致字段解析失败 |
| 可用性 | 某一目标不可达 | 设备重传消耗资源，可能影响其他目标的转发 |
| 容量 | 目标数量增加 | 日志量成倍，带宽与磁盘压力上升 |
| 接收确认 | 上报目标通常不可控 | 需与接收方确认对方是否真正入库 |
设备显示已发送不等于对方平台已入库：验证时要在接收平台的检索界面确认记录，而不是只看设备侧的发送计数。