日志外发验证方法是什么
日志配置好不等于日志能到。syslog 默认走 UDP，没有握手也没有重传，一旦中间被策略拦截、服务器没监听、端口不匹配，日志会被静默丢弃——设备侧的配置看起来完全正确。因此每次配置变更后都要做端到端验证：设备侧确认发送计数在增长，服务器侧确认真实收到内容，并核对源地址与时间。
基本信息
| 设备端 | 查看日志缓冲、统计信息与发送计数 |
|---|---|
| 服务器端 | 抓包或实时查看接收文件，确认内容可读 |
| 常见故障 | UDP 514 被策略拦截、服务器未监听或磁盘写满 |
| 核对要点 | 源地址是否固定、时间是否同步、字段是否完整 |
| 可靠性 | 关键设备建议用 TCP 或加密传输减少丢日志 |
典型使用场景
- 新设备接入日志平台后的首次验证
- 安全策略收紧后确认未误拦日志流量
- 日志平台升级或迁移后确认接收恢复正常
- 排查日志中断：定位是设备侧未发送还是服务器未接收
- 时间同步检查：确认设备与平台时间一致
- 容量核查：确认服务器磁盘与写入速率满足留存要求
双侧验证命令
双侧验证命令
# 服务器侧：抓包确认收到设备日志
sudo tcpdump -i any -nn udp port 514 -c 20
# 服务器侧：实时查看接收文件是否在写入
tail -f /var/log/remote/device.log
# 设备侧：确认日志已产生（不同厂商命令不同）
# 触发一次日志事件后，观察服务器侧是否有对应记录现象与定位
| 现象 | 可能环节 | 验证方法 |
|---|---|---|
| 两边都无记录 | 设备未产生日志或未开启外发 | 查设备日志缓冲与 info-center 状态 |
| 设备有记录、服务器无 | 链路拦截或服务器未监听 | 服务器抓包确认是否到达 |
| 抓包有报文、文件无内容 | 解析配置或权限问题 | 检查监听进程与文件权限 |
| 日志时间错乱 | 时间未同步 | 核对 NTP 配置 |
| 日志间歇性缺失 | UDP 丢包或服务器过载 | 改用 TCP 并检查磁盘与处理能力 |
验证要用「触发一次真实事件再看结果」的方式，而不是只看配置回显或测试 ping，配置正确但链路不通是最常见的静默失败。
关键设备建议使用 TCP 或加密方式传输日志：UDP 在高峰时段丢包时，日志平台看到的记录会稀疏但不报错，容易被误判为设备没有事件。