Syslogの基礎

この単元で学ぶこと

Syslogは、ルータ、スイッチ、ファイアウォール、サーバーなどが発生させたイベントや状態変化を、ログメッセージとして記録・転送する仕組みです。

この単元では、Syslogを使う理由、送信元・リレー・コレクタの役割、メッセージの重要度、UDP 514を使う基本的な転送、Cisco IOSでの設定と確認方法を学びます。

Syslogが必要な理由

ネットワーク障害では、複数の機器に記録されたログを時系列で比較します。ログを各機器だけに保存していると、再起動や障害でログが失われたり、複数の機器を個別に確認したりする必要があります。

Syslogサーバーへログを集約すると、機器をまたいだ障害の流れを追いやすくなり、監視・障害切り分け・セキュリティ調査に役立ちます。NTPで時刻を同期しておくことも、ログを正しい順番で比較するために重要です。

送信元・コレクタ・リレー

ログを発生させるルータやスイッチなどを送信元と考えます。送信されたログを受け取り、保存や検索を行うシステムがログコレクタです。

ログリレーは、送信元から受け取ったログを別のコレクタやリレーへ転送する役割です。拠点ごとにログを集約してから中央のログ基盤へ送る構成などで使われます。

ログメッセージの基本要素

Syslogメッセージには、発生時刻、送信元、アプリケーションやプロセスを識別する情報、メッセージ本文などが含まれます。実際の表示形式は機器やSyslogサーバーの実装によって異なるため、運用では必要な項目を確認します。

メッセージ先頭の優先度（PRI）は、ファシリティとシビリティを組み合わせて表す値です。

ファシリティとシビリティ

ファシリティは、ログを発生させた機能や分類を表す情報です。Syslogではlocal0からlocal7など、用途に応じて使える分類もあります。

シビリティは、ログの重要度を0から7で表す番号です。0はEmergency、7はDebugで、数値が小さいほど緊急度が高くなります。すべてのログを送ると量が増えるため、運用目的に合わせて転送するレベルを決めます。

UDP 514と転送方式

SyslogのUDP転送では、受信側と送信側がUDP 514を使用できます。UDPは広く使われる方式ですが、メッセージの到達確認を行いません。

重要なログを扱う場合は、利用する機器とログ基盤が対応している転送方式、暗号化、認証、到達性を確認します。TCPやTLSを使う構成では、ポート番号や設定がUDP方式と異なる場合があります。

Cisco IOSの基本設定例

次の例では、192.0.2.20のSyslogサーバーへUDP 514でログを転送します。

service timestamps log datetime msec
logging host 192.0.2.20 transport udp port 514
logging trap warnings

logging trap warningsは、Warning（4）以上の重要度、つまりEmergencyからWarningまでのメッセージを転送対象にします。

確認コマンド

show logging

show loggingでは、ログバッファ、設定済みのSyslogサーバー、転送レベル、直近のログメッセージなどを確認します。

障害切り分けのポイント

ログが届かない場合は、送信元からログサーバーへの到達性、ACLやファイアウォール、送信先IPアドレス、プロトコルとポート番号、ログサーバーの待受設定を順に確認します。

ログ量が多すぎる場合は、転送レベルを見直します。逆に必要なログが不足する場合は、設定したレベルが厳しすぎないか、送信元でログ出力が有効かを確認します。

まず覚えたいポイント

Syslogは、ネットワーク機器のイベントをログとして記録・集約する仕組みです。送信元、リレー、コレクタの役割を理解し、ファシリティとシビリティでログを分類します。ログを正しく比較するためにはNTPによる時刻同期も重要で、ログ転送では送信先、UDP 514、フィルター設定、到達性を確認します。