Syslog とは？

ログはシステムの出来事の記録。Syslogはその記録をメッセージとして扱い、収集先などへ送るプロトコルだよ。日記がログなら、その日記を決まった書式で本部へ送る仕組みがSyslog、というイメージだね。

複数のサーバーやネットワーク機器の記録をまとめて調べるためだよ。集約すると障害や異常の調査に役立つ。ただし、送られた記録がすべて届くことや、届いた順が出来事の順と一致することまで保証されるわけではない。機器の時計も確認が必要なんだ。

Facilityはカーネルやメールなど、出所の分類を表すよ。Severityは0〜7の8段階で、0がEmergency、7がDebug。数字が小さいほど重大な側になる。この情報を使って、収集側で表示や扱いを分けられるんだ。

UDPで送る方式ではポート514を使うよ。ただしUDPには、Syslogメッセージの受信確認や再送の仕組みがなく、欠落や順序の入れ替わりが起こり得る。TLSをTCP上で使う方式も定められていて、既定ポートは6514。RFC 5424のメッセージ形式とは別の仕様なんだ。

TLSは通信の保護に使い、TCPは再送などで一部のデータ損失に対処するよ。でもRFC 5425の方式にはアプリケーション側の受信確認がない。接続が切れると、どこまで届いたか送信側が分からない場合もあるんだ。必要な保存や欠落への備えは、収集システム全体で確かめよう。