Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Konsumsi Syslog
Penyerapan syslog terkelola Amazon CloudWatch Logs memungkinkan Anda mengirim pesan syslog (RFC 5424, RFC 3164, dan Cisco FTD/ASA) dari firewall, router, switch, dan server Linux langsung ke CloudWatch Log — tanpa menginstal atau mengelola agen apa pun. Sumber syslog Anda mengirim pesan melalui TCP, TCP+TLS, atau UDP ke titik akhir VPC di akun Anda. Lalu lintas disalurkan AWS PrivateLink ke layanan syslog CloudWatch Logs, yang secara otomatis mengurai pesan masuk dan mengekstrak bidang terstruktur seperti fasilitas, tingkat keparahan, nama host, dan nama aplikasi — menghilangkan kebutuhan untuk pipeline parsing khusus. Anda kemudian dapat menanyakan bidang ini menggunakan CloudWatch Logs Analytics untuk menyelidiki peristiwa keamanan atau memecahkan masalah konektivitas. Ini membantu Anda memusatkan visibilitas log infrastruktur, menyederhanakan alur kerja operasional, dan mengurangi overhead penerapan dan pemeliharaan agen pengumpulan log di seluruh lingkungan terdistribusi.
Jika sumber syslog Anda sudah berada di dalam Amazon VPC Anda, mereka dapat mengirim pesan langsung ke titik akhir VPC. Jika sumber Anda berada di luar AWS (pusat data lokal, kantor cabang, atau fasilitas lokasi bersama), mereka dapat mencapai titik akhir VPC melalui koneksi VPN atau Direct Connect Anda.
Protokol dan port yang didukung
| Protokol | Port | Catatan |
|---|---|---|
| TCP+TLS | 6514 | Dienkripsi saat transit. Direkomendasikan untuk persyaratan kepatuhan. |
| Teks biasa TCP | 1514 | Plainteks over AWS PrivateLink (terisolasi jaringan). |
| UDP | 514 | Best-effort pengiriman. |
TLS pada port 6514 dihentikan pada penyeimbang beban jaringan menggunakan sertifikat yang AWS dikelola oleh Amazon Trust Services. Klien syslog Anda mempercayai sertifikat ini secara otomatis tanpa konfigurasi khusus.
catatan
UDP adalah protokol upaya terbaik. Pesan mungkin hilang karena kondisi jaringan. Gunakan TCP untuk pengiriman yang andal.
Format syslog yang didukung
CloudWatch Log secara otomatis mendeteksi dan mengurai format syslog berikut:
RFC 5424 (format yang lebih baru) - Termasuk data terstruktur, cap waktu ISO 8601, dan nama aplikasi eksplisit dan bidang ID proses.
RFC 3164 (BSD syslog, format lama) - Termasuk stempel waktu BSD-style dan bidang TAG. Masih banyak digunakan oleh perangkat jaringan seperti firewall, router, dan switch.
Cisco FTD/ASA — Format syslog yang digunakan oleh perangkat Cisco Firepower Threat Defense (FTD) dan Adaptive Security Appliance (ASA). Pesan diidentifikasi oleh
%ASA-tag%FTD-atau di badan pesan.
Pesan disimpan dalam grup log Anda dalam format mentah aslinya. CloudWatch Log secara otomatis mengekstrak bidang terstruktur dari setiap format, yang dapat Anda kueri menggunakan CloudWatch Logs Insights.
RFC 5424 bidang yang diekstraksi
| Bidang | Deskripsi |
|---|---|
facility | Nama kategori log (misalnya,kern,auth,local0). |
facilityCode | Kode fasilitas numerik (0—23). |
severity | Nama tingkat keparahan (misalnya,emerg,err,info). |
severityCode | Kode tingkat keparahan numerik (0—7). |
timestamp | Stempel waktu pesan dalam format ISO 8601. |
hostname | Nama host perangkat sumber. |
appName | Nama aplikasi |
procId | ID proses. |
msgId | Pengidentifikasi pesan. |
structuredData | RFC 5424 elemen data terstruktur (metadata nilai kunci). |
message | Badan pesan. |
RFC 3164 bidang yang diekstraksi
| Bidang | Deskripsi |
|---|---|
facility | Nama kategori log. |
facilityCode | Kode fasilitas numerik (0—23). |
severity | Nama tingkat keparahan. |
severityCode | Kode tingkat keparahan numerik (0—7). |
timestamp | Stempel waktu pesan (dikonversi dari format BSD ke ISO 8601). |
hostname | Nama host perangkat sumber. |
appName | Nama aplikasi (diekstrak dari bidang TAG). |
procId | ID proses (diekstrak dari bidang TAG, jika ada). |
message | Badan pesan. |
Bidang yang FTD/ASA diekstraksi Cisco
| Bidang | Deskripsi |
|---|---|
device | Jenis perangkat (FTD,ASA, atauFMC-AUDIT-LOG). |
timestamp | Stempel waktu pesan (format RFC 3164 atau RFC 5424, tergantung konfigurasi perangkat). |
deviceId | Nama host perangkat (hadir saat device-id logging dikonfigurasi pada alat). |
severity | Nama tingkat keparahan (misalnya,informational,warning,critical). |
severityLevel | Tingkat keparahan numerik (0-7). |
messageId | Pengidentifikasi pesan numerik Cisco (misalnya,106023,302013). |
subsystem | Nama subsistem (hadir untuk jenis pesan tertentu). |
message | Isi pesan (teks biasa), atau bidang nilai kunci individu saat badan menggunakan format terstruktur Cisco. |
Pengiriman pesan
Tidak HTTP-based seperti penyerapan di mana server mengembalikan kode status untuk setiap permintaan, syslog tidak memberikan pengakuan keberhasilan per pesan kembali kepada pengirim. Setelah pesan diterima oleh layanan, pesan tersebut akan di-buffer dan dikirim ke grup log Anda dengan percobaan ulang untuk kesalahan sementara. Jaminan pengiriman tergantung pada protokol transportasi yang Anda pilih:
-
TCP (port 6514 dan 1514) - Menyediakan pengiriman yang andal dalam kondisi operasi normal.
Ketika pengiriman tidak memungkinkan, layanan mengatur ulang koneksi TCP untuk memberi sinyal kegagalan kepada klien Anda. Pesan dalam penerbangan pada koneksi itu mungkin terputus, tetapi pengaturan ulang koneksi memberikan tekanan balik langsung sehingga klien Anda dapat mendeteksi masalah dan menyangga pesan secara lokal hingga kondisi teratasi. Di bawah tekanan kapasitas, layanan menolak koneksi TCP baru lebih awal, memberikan sinyal tekanan balik yang sama.
Kondisi yang menyebabkan reset koneksi meliputi:
Kebijakan titik akhir VPC menolak akses
Ku
PutLogEventsota akun Anda terlampauiGrup log target tidak ada
Kebijakan sumber daya pada grup log menolak akses
UDP (port 514) — Best-effort pengiriman. Pesan yang tidak dapat dikirim akan dihapus tanpa umpan balik kepada pengirim. Pesan juga dapat hilang karena kemacetan jaringan atau kendala kapasitas. Gunakan TCP jika pengiriman yang andal penting untuk kasus penggunaan Anda.
Untuk mendeteksi dan menanggapi masalah pengiriman, pantau SyslogMessagesDropped metrik di CloudWatch. ReasonDimensi menunjukkan mengapa pesan dihapus sehingga Anda dapat mengambil tindakan korektif. Untuk informasi selengkapnya, lihat Memantau konsumsi syslog.
Kuota dan batas
| Kuota | Nilai | Catatan |
|---|---|---|
| Ukuran pesan maksimum (TCP) | 64 KB | Pesan syslog standar biasanya berada di bawah batas ini. Jika Anda memiliki kasus penggunaan yang memerlukan pesan yang lebih besar, hubungi AWS Dukungan. |
| Ukuran pesan maksimum (UDP) | 8 KB | Pesan syslog standar biasanya berada di bawah batas ini. Jika Anda memiliki kasus penggunaan yang memerlukan pesan yang lebih besar, hubungi AWS Dukungan. |
| Throughput konsumsi | Dibagikan dengan PutLogEvents |
Konsumsi Syslog dihitung terhadap PutLogEvents kuota akun Anda (5.000 permintaan per detik per akun per Wilayah secara default). |
Ku PutLogEvents ota dapat disesuaikan. Jika lalu lintas syslog Anda membutuhkan throughput yang lebih tinggi, minta peningkatan kuota melalui Kuota Layanan.
