为什么要两端验证
新接一个日志源后，设备侧显示「已发送」不代表服务器真的收到了：中间可能有网络策略拦截、端口不通、接收服务未监听、目录权限不足或解析失败。因此验证必须两端都看——服务器侧抓包确认数据到达并检查落盘文件，设备侧核对发送计数与本地缓冲。只做一侧验证，结论就不可靠。
基本信息
| 服务器侧 | 抓包确认到达，检查落盘目录与文件内容 |
|---|---|
| 设备侧 | 发送统计、本地缓冲对照、外发配置确认 |
| 验证时机 | 新接入、网络策略变更后、平台升级后 |
| 覆盖要求 | 覆盖业务峰值时段，低峰正常不代表高峰不丢 |
| 留存要求 | 验证记录与截图归档，作为交付材料 |
| 常见阻断点 | 中间策略拦截、端口未通、目录权限、解析缺失 |
典型使用场景
- 新设备接入日志平台后的端到端验证
- 日志平台迁移或地址变更后的回归确认
- 怀疑丢日志时定位是设备没发还是服务器没收到
- 网络策略调整后确认日志通道未被阻断
- 交付交接时提供可核查的验证证据
服务器侧命令
服务器侧命令
sudo tcpdump -i any -nn udp port 514 -c 10 # 抓包确认数据到达
sudo tail -f /var/log/messages # 查看接收记录
tail -n 20 /var/log/remote/USG-A/2026-10.log # 检查落盘文件内容
ls -l /var/log/remote/USG-A/ # 确认目录与权限
# 权限不足会静默写入失败由现象定位环节
| 现象 | 问题环节 |
|---|---|
| 服务器抓包无数据 | 设备未发送，或网络链路被阻断 |
| 抓包有数据但无文件 | 接收服务配置或目录权限问题 |
| 有文件但字段混乱 | 解析规则缺失或格式不匹配 |
| 低峰正常高峰缺失 | 接收端性能不足或链路丢包 |
验证要覆盖峰值时段：低峰一切正常不代表高峰不丢日志，很多问题只在流量上来时才暴露。
只看设备侧显示已发送而不看服务器是否收到，链路问题会被长期掩盖，直到真正需要日志时才发现。