| 验证端 | 日志服务器抓包或实时查看接收文件 |
|---|---|
| 设备端 | 查看日志缓冲与统计，确认发送计数增长 |
| 常见问题 | UDP 514 被网络策略拦截、服务器磁盘写满 |
服务器侧验证示例
服务器侧验证示例
sudo tcpdump -i any -nn udp port 514 -c 20
# 或
tail -f /var/log/remote/device.log关键设备日志建议用 TCP 或带确认的传输方式，减少高峰丢日志。
日志外发验证方法
日志配置完成后要验证真实到达与可读，避免出现「配置了但服务器收不到」的静默失效。
易错点
- 只配置不验证时，最常见的静默失败是中间网络阻断 UDP 514
- 日志服务器时间未同步会让关联分析与设备时间对不上
数据来源与参考
- RFC 5426（syslog over UDP）
- rsyslog 官方文档：接收远程日志