Syslog集中日志：把全网黑匣子收拢到一处
导语：设备各自记日志，出事时翻箱倒柜——Syslog 集中采集让你一键回溯。
一、为什么要关注（背景与痛点）
某制造企业园区核心交换机重启，事后找不到原因；等保要求日志留存≥6 个月且防篡改。分散日志易丢、难关联。Syslog 把各级别日志实时送到中心服务器，统一留存与分析，是审计与取证的基础能力。
二、核心原理 / 关键概念
- Syslog：UDP514（或 TCP/TLS）传输，设施（facility）+严重级（severity）0-7 分级。
- 与 SNMP Trap 的区别：Trap 是告警事件，Syslog 是通用文本日志，覆盖更广。
- 与本地日志的区别：本地易满覆盖、被删；远端集中可留存、可审计。
- 多厂商客观对比：
| 维度 | 华为 | 新华三(H3C) | 锐捷 | 思科 | 迈普 | 信创国产 |
|---|---|---|---|---|---|---|
| 配置 | info-center | info-center | logging | logging host | 同 | 同 |
| 安全传输 | TLS 可选 | TLS 可选 | TCP | TLS | TLS | TLS |
| 适用场景 | 全 | 全 | 全 | 全 | 多场景 | 信创环境 |
注：各厂商命令语法略有差异。
三、落地做法 / 操作步骤
- 部署日志服务器（如开源方案），开 514/TCP。
- 设备指向服务器并分级。示例（思路，H3C 风格）：
info-center enable
info-center loghost 10.0.0.200
info-center source default loghost level informational
各厂商命令语法略有差异。
四、网络如何为数据存储/备份提供安全底座
信创云盘、群晖 NAS（如 DS925+）的访问与备份日志汇入同一中心，与网络设备日志时间轴对齐（NTP），可还原"某时刻某 IP 访问了存储、触发了备份"。ACL 限制日志通道仅管理网可达，日志服务器置于带外管理区。网络为日志的采集、传输、隔离提供管道与防护。
五、常见误区 / 避坑提醒
- 用 UDP 不加密，日志在网内明文可被窃听/伪造。
- 全级别全量上报，服务器被淹没。
- 不配本地缓冲，断链即丢。
- 日志服务器无访问控制，反成攻击入口。