什么是Syslog服务器？它是如何工作的？

所有网络设备，如路由器、服务器、防火墙等，都会生成或记录有关其状态以及发生的各种事件的日志。对于小型系统来说，跟踪这些日志并不困难。但是，当涉及到大型系统时，要跟踪所有这些日志和信息就会变得非常困难。为了克服这个问题，我们可以使用Syslog技术，也就是所谓的Syslog服务器（例如Kiwi Syslog服务器、Graylog、Solarwind Syslog服务器等）。

Syslog服务器使我们能够将所有网络设备的日志信息发送到同一个集中位置。这些日志信息通过UDP端口514被传输到Syslog服务器上。从那里，我们可以搜索、管理和归档所有的日志信息。

有各种各样的设备支持Syslog协议，因此，该协议可以被用来记录各种类型的事件，比如来自Web服务器、路由器等设备的日志信息。

什么是Syslog？
Syslog是一种标准的消息记录协议，计算机系统使用它来将各种事件日志发送到Syslog服务器进行存储。在网络设备上，Syslog可以用于记录诸如接口状态的变化、系统的重启等事件。可以记录多种类型的事件。在解决问题和分析事故原因时，日志是非常重要的工具。

工作/活动：
Syslog标准定义了三个层次：Syslog传输层、Syslog应用层以及Syslog内容层。

1. Syslog内容层 –
   这些实际上是事件消息中所包含的数据。这些数据包含了一些信息元素，比如设施代码以及事件的严重程度等。
2. Syslog应用层——
   这一层负责生成、解析、路由以及存储这些消息。
3. Syslog传输层——
   这一层负责通过网络来传输消息。

Syslog消息格式：

seq:timestamp: %facility-severity-MNEMONIC:description

在实际的Syslog消息中，可能会显示“seq”这个字段，也可能不会显示。

1. seq –表示消息的排序/顺序的序列号。
2. 时间戳 –时间戳表示消息生成的具体时间。
3. 设施/设备表示是设备上的哪个进程产生了这条消息的值。
4. 严重程度该数字表示所记录事件的严重程度。总共有8个级别来表示不同的严重程度。
5. 记忆辅助工具/系统一个用于表示消息内容的短代码，用来说明发生了什么情况。
6. 描述/说明关于该事件的详细信息。

这是一条在配置路由器和交换机时可以看到的日志信息。

Syslog设施代码：

在底部，有编号为16到23的代码，这些代码通常用于本地设备。这些代码主要用于网络设备。

Syslog的严重程度等级：
这一点非常重要，因为如果没有 severity 值的话，所有的日志信息都会被发送到服务器上。这种做法并不推荐，因为这会导致服务器负担过重。通过利用 severity 级别，我们可以根据信息的严重程度来决定哪些信息应该被发送出去。

共有8个严重程度等级，每个等级都有一个对应的数字表示。其中，0表示最严重的情况，而7则表示最不严重的情况。每个等级还有对应的关键词，这些关键词用于标识该等级的严重程度。此外，还提供了关于该等级严重程度的描述性说明。

1. 0级，紧急状态，这类事件会导致系统无法正常运行。
2. 一级警戒状态，适用于那些需要立即采取行动的事件。因此，这些也是非常紧急且严重的事件。
3. 二级状态被称为“危急状态”，其描述仅为“危急状况”。
4. 3级，出现错误。
5. 四级，警告状态。
6. 第5级，即“通知/警示”，用于表示“正常但存在问题的状况”的消息。
7. 第6级属于“信息类”，最后就是……
8. 第7级是“调试”阶段。这些消息的严重程度最低。

Syslog服务器：
Syslog服务器用于将来自多个源的Syslog消息收集到同一个地方。Syslog服务器可以是物理服务器，也可以是虚拟机。有一些组件可以帮助Syslog服务器接收、存储并解析这些消息。

1. Syslog监听器 –
   Syslog监听器允许服务器接收通过网络传输的消息。这些消息是通过UDP协议在端口514上发送的。由于UDP协议的可靠性较低，因此有些网络设备可能会使用TCP协议来发送Syslog数据，以确保消息能够成功传递。
2. 数据库 –
   由于大型网络会产生大量的Syslog数据，因此必须能够存储这些数据，以便快速检索和方便查阅。
3. 自动化与过滤功能——
   在大量数据中找到具体的日志记录是非常困难的。而Syslog服务器则可以帮助你收集并过滤这些日志。

对原木的需求：

1. 日志信息在解决问题时非常重要且很有帮助。例如，如果有些用户报告说网络出现了故障，就像最近Facebook、WhatsApp和Instagram出现故障的情况一样，那么我们就可以查看所有的日志信息，以找出是否存在任何问题。
2. 将日志信息存储在一个集中位置的另一个好处是，可以方便地保留数据。
3. 它可以提供必要的临时信息，从而帮助系统在发生故障后恢复到原来的状态。