Syslog 端口与传输方式是什么
syslog 是网络设备把日志送到日志服务器的标准方式。传统实现用 UDP 514，无连接、开销小，但网络拥塞或服务器繁忙时会丢报文；需要可靠传输时可用 TCP（常见 514 或 1514，厂商实现不一），跨安全域或公网传输时通常使用带 TLS 的 6514。端口选择不是小事：设备和服务器两侧必须一致，中间设备的放行策略也必须同步更新。
基本信息
| UDP 514 | 传统方式，简单但可能丢包，无重传机制 |
|---|---|
| TCP 514 / 1514 | 可靠传输，厂商实现与默认端口不同 |
| TLS 6514 | 加密传输，用于跨公网或跨安全域 |
| 常见服务器 | rsyslog、syslog-ng、商用日志平台采集器 |
| 实施要点 | 设备侧端口、网络放行、服务器监听三者一致 |
典型使用场景
- 设备接入日志平台：确定使用哪个端口与协议
- 日志量大的核心设备：用 TCP 减少高峰丢日志
- 跨公网传输：使用加密端口并做双向校验
- 日志收不到排查：核对设备、网络与服务器三处端口配置
- 日志平台迁移：端口变化后同步更新设备与放行策略
- 合规要求：留存链路需具备完整性保障时选择可靠传输
端口核对
端口核对
# 设备侧：日志服务器地址与端口、协议（UDP 或 TCP）
# 网络侧：中间防火墙放行设备到日志平台的对应端口
# 服务器侧：rsyslog 监听配置与协议保持一致
# 例如 /etc/rsyslog.conf 中启用 UDP 或 TCP 接收模块
# 变更后验证：设备触发一次事件，服务器侧确认收到
# 加密场景额外确认证书、时间与信任链传输方式对照
| 方式 | 可靠性 | 适用场合 |
|---|---|---|
| UDP 514 | 低，可能丢包 | 内网、日志量不大、容忍少量丢失 |
| TCP 514/1514 | 较高，有重传 | 核心设备、日志量大 |
| TLS 6514 | 较高且有加密 | 跨公网、跨安全域传输 |
| 本地缓冲 | 设备侧暂存 | 链路中断时避免彻底丢失 |
端口不是标准化的部分：同样叫 syslog，不同厂商默认端口可能不同（514、1514 等），实施前以设备与平台文档为准，不要凭印象配置。
跨公网明文传输日志会泄露设备名称、内网结构与事件内容，涉及敏感信息时应使用加密传输方式。