Syslog集中日志
导语：设备各自记日志，出事时登录十台交换机翻记录？Syslog 把全网日志统一发往日志服务器，集中存储、检索、告警，是运维可观测性与等保审计的基础。
一、为什么要关注
- 故障定位需要跨设备时间线，分散日志无法关联；
- 等保要求审计日志集中留存且防篡改；
- 异常行为（端口震荡、登录失败）需实时告警。 集中日志让"看见全网"成为可能。
二、核心原理（多厂商客观对比）
Syslog 用 UDP/TCP 把设备日志按设施（facility）与级别（severity）发往采集器，服务器端解析入库。
| 厂商 | 配置概念 | 命令风格特点 | 适用场景 |
|---|---|---|---|
| 华为 | info-center | 多通道日志 | 大型企业 |
| 新华三 H3C | info-center | 类华为 | 园区网 |
| 锐捷 | logging | 类 Cisco | 教育/企业 |
| 思科 | logging host | 经典 IOS | 跨国部署 |
| 迈普 | 国产日志命令 | 信创体系 | 政务内网 |
| 信创国产 | 各有实现 | 自主可控 | 涉密环境 |
三、落地做法/步骤（各厂商命令语法略有差异，以下为通用思路）
- 部署日志服务器（采集+索引），规划存储周期；
- 设备指向服务器地址，选择 TCP（可靠）或 TLS（加密）；
- 设定级别（建议 info 以上，安全设备 debug 谨慎）；
- 配置告警规则（如多次登录失败）；
- 验证：手动触发事件，确认服务器收到。 通用建议：日志量大的网络用 TCP/TLS 避免丢日志，并隔离日志网。
四、网络如何为数据存储/备份提供安全底座
五、常见误区
- 用 UDP 且未确认，日志悄悄丢失；
- 全开 debug，磁盘与性能被拖垮；
- 日志服务器与业务混网，易被横向移动触及。
六、小结与行动建议
集中日志应"全量覆盖、分级采集、独立存储、定期备份"。先接核心与安全设备，逐步铺开，并与 NTP 时间同步配合，形成可审计、可追溯的运维底座。