日志为什么要加密外发
syslog 默认以明文 UDP 或 TCP 传输，日志内容会完整暴露在链路上。当设备与日志服务器之间跨越不可信网络（公网、跨租户、跨机房链路）时，应使用 syslog over TLS 对链路加密并校验服务端身份。加密之后还要把证书有效期纳入监控，因为证书过期会让日志静默中断。
基本信息
| 传输方式 | syslog over TLS（RFC 5425），常用端口 6514 |
|---|---|
| 要素 | 服务端证书、CA 信任链、客户端证书（启用双向认证时） |
| 适用场景 | 跨公网、跨租户、合规要求较高的环境 |
| 注意 | 证书有效期纳入监控，避免日志静默中断 |
典型使用场景
- 跨公网传输：日志经互联网送往异地或云上平台
- 等保要求：审计日志传输需保证完整性与保密性
- 多租户环境：日志服务器由第三方托管时保护内容
- 合规审计：证明日志在传输环节未被窃听或篡改
- 链路加固：把原有明文转发改造为加密转发
实施要点
实施要点
# 1. 日志服务器准备证书并开启监听端口（常见 6514）
# 2. 设备导入 CA 证书与客户端证书（如启用双向认证）
# 3. 验证握手成功，并确认日志实际到达平台
# 4. 证书有效期纳入监控，提前续期避免日志中断
# 5. 保留本地日志作为加密链路故障时的兜底手段传输方式对比
| 方式 | 是否加密 | 适用场景 |
|---|---|---|
| UDP 514 明文 | 否 | 隔离内网，仅作兼容保留 |
| TCP 明文 | 否 | 内网且链路可信 |
| TLS 加密 | 是 | 跨不可信链路与合规场景 |
加密链路同样要监控可用性：证书过期或握手参数变化时日志会静默中断，比明文链路的故障更难被发现。
迁移期可以加密与明文并行一段时间：确认加密链路稳定、字段解析正常后，再停用明文转发，避免改造过程出现日志空窗。