用于syslog收集的协议 - TCP、UDP、RELP

Syslogs 是由Linux/Unix设备及其他网络设备如交换机、路由器和防火墙生成的日志。syslogs可以通过汇总到称为syslog服务器、syslog守护进程或syslogd的服务器来实现集中管理。设备向syslog守护进程传输syslogs时，使用TCP、UDP和RELP协议。

用户数据报协议（UDP）

UDP是一种无连接且不可靠的协议。因此，发送到syslog守护进程的syslog消息不会返回任何接收确认。默认情况下，UDP协议的syslog传输通过514端口进行，但用户可以随时更改此端口号。

通常不建议使用UDP进行传输，因为syslog数据包可能无法被syslog服务器正确接收，重要信息可能会丢失。

您必须配置服务器作为syslog守护进程，使其能够监听UDP端口514。

• 在终端中打开etc/syslog.conf文件。
• Identify the below statements and uncomment them.
  • $ModLoad imudp
  • $UDPServerRun 514
• 重启机器并检查更改是否生效

了解更多关于 syslog 的信息

传输控制协议（TCP）

TCP是一种面向连接且可靠的传输协议，可以使用相同的514端口向syslog守护进程发送syslog消息。TCP默认用于rsyslog和syslog-ng等syslog收集工具中的数据传输。syslogd会对每条接收的syslog消息发送确认，确保所有syslog消息都存储在单一存储库中。

您可以通过以下命令配置服务器作为syslog守护进程，并启用其监听TCP端口514。

1. 在终端中打开etc/syslog.conf文件。
2. Identify the below statements and uncomment them.
   • $ModLoad imudp
   • $UDPServerRun 514
3. 重启机器并检查更改是否生效

可靠事件日志协议（RELP）

RELP最初为rsyslog-rsyslog通信开发，是一种网络协议，帮助实现事件消息的可靠传输。RELP使用TCP传输syslogs，但通过反向通道提供额外功能，识别已被syslog守护进程正确接收的消息。反向通道可以查看从设备发送的syslog消息，并同时在接收端监听它们。

如果syslog传输过程中连接突然中断，RELP解决了传输中的消息是否被syslog服务器接收的不确定性。它会向发送方传达syslog服务器已处理的消息。

使用EventLog Analyzer监控syslogs

无论您的设备是为了速度使用UDP传输日志，为了可靠性使用TCP，还是为了安全使用TLS，有效的syslog监控不仅仅是接收数据包。使用命令行工具如grep手动收集和解析这些日志效率低下、易出错且速度缓慢，尤其是在大型分布式环境中。

集中且自动化的syslog收集

EventLog Analyzer通过作为自动化、集中式的syslog监听器和分析器简化了syslog管理。它确保所有在网络设备上生成的syslog都能安全传输、存储、解析和分析，无需人工干预。

协议无关的syslog收集

EventLog Analyzer内置syslog监听器，支持所有主要传输协议：

• UDP 514： 为防火墙、路由器和高流量设备提供高速收集
• TCP 514： 为服务器和关键应用提供带确认的可靠传输
• TLS 6514： 为敏感环境和合规需求提供加密传输

这种灵活性允许与现有网络基础设施无缝集成。设备可以配置为使用符合其安全需求的任一协议直接转发syslogs到EventLog Analyzer，无需协议转换或额外中间件。

跨协议的统一分析

日志到达后，EventLog Analyzer将其规范化为一致格式进行分析。通过UDP传输的防火墙日志、通过TCP传输的服务器事件和通过TLS加密的应用日志都在统一的仪表板和报告中显示。

关联引擎将syslogs与其他日志源交叉分析，以检测未授权访问、可疑行为和安全漏洞。预定义的警报配置文件会即时通知管理员，加快事件响应速度。

内置合规支持

PCI DSS和HIPAA等法规要求对包含敏感数据的日志进行加密传输。EventLog Analyzer的TLS监听器（端口6514）满足这些要求，同时安全归档确保审计准备的日志保留。

通过在单一平台内支持UDP、TCP和TLS，EventLog Analyzer让您根据每台设备的需求平衡性能、可靠性和安全性。