提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

四、案例分享:syslog服务器上的日志比AF上的少如何分析

|

问题描述

分享典型案例:syslog服务器撒花姑娘的日志比AF上的少如何分析

告警信息

syslog外发原理:防火墙配置syslog外发后,设备自身每生成一条需外发日志,就会产生一条syslog协议的数据包外发(数据包为明文,可抓包确认),syslog服务器收到数据包后,会用他们的解析规则来解析数据包,并产出他们的日志格式进行记录,正常情况AF上的日志数会和服务器的日志数一致。

有效排查步骤

1、首先了解syslog外发原理(如上),正常情况AF的日志数和syslog服务器的日志数是对等的,若不对等,则需要先验证是否防火墙外发的syslog数据包少了;

2、在防火墙syslog外发数据包的接口抓包,抓包条件为:syslog服务器ip+514端口(推荐用界面抓包工具),再看设备这段时间所产生的日志数以及syslog服务器上的日志数,出现日志对不上的情况则停止抓包,确认AF外发数据包的数量和AF上的日志是否对得上;


3、存在一种特殊场景:客户配置的syslog外发很多,日志量很大,抓包只能抓514协议不能过滤日志类型,导致包太多不确定哪种日志少了,此场景建议与客户沟通先关闭部分syslog日志外发,针对一项量不是很大的日志单独外发观测,暂时没有其他更好的办法定位:


4、若数据包对得上,则可以排除AF问题,服务器上日志数少的原因可能为:
①syslog默认通过udp514端口传输,udp协议本身为不可靠协议,若存在丢包,则可能导致syslog服务器日志少,可通过syslog服务器同时抓包排除此原因;
②syslog服务器正常收到了所有AF外发的数据包,但是syslog服务器配置了类似日志归并等功能,导致部分日志归并不展示(需要syslog服务器排查);
③syslog服务器本身性能问题,导致部分日志解析不成功(需要syslog服务器排查);

5、若对不上则怀疑是产品问题,可转研发排查。

解决方案

如上

我要分享
文档编号: 257135
作者: admin
更新时间: 2023-06-02 12:14
适用版本: