Configurar el reenvío remoto de registros (Syslog)

Cómo configurar VergeOS para reenviar los registros del sistema a un servidor syslog remoto para la administración centralizada de registros, el archivado y el cumplimiento.

VergeOS puede configurarse para reenviar registros a un servidor Syslog remoto, una capacidad importante para las organizaciones que aprovechan la agregación de registros para la gestión centralizada, el архивado de registros y el cumplimiento normativo.

Retención de registros

La actividad registrada suele estar disponible dentro de la interfaz de usuario de VergeOS durante un máximo de 45 días. Configure el reenvío de registros remoto para conservar los registros durante periodos más largos.

Requisitos previos

• Conectividad de red entre VergeOS y el servidor syslog remoto
• Reglas de firewall adecuadas para permitir el tráfico syslog (normalmente el puerto 514)
• Acceso a la configuración del sistema de VergeOS

Pasos de configuración

Para configurar el reenvío de registros a un servidor syslog remoto:

1. Vaya a Configuración avanzada

Vaya a Sistema > Configuración > Configuración avanzada.

2. Configure el servidor syslog remoto

1. En el encabezado de la columna "Configuración", escriba syslog y pulse Enter para buscar
2. Seleccione y edite Servidor syslog remoto (tcp: @@nombre/ip:puerto, udp: @nombre/ip:puerto)
3. Configure este ajuste de acuerdo con la sintaxis esperada por su servidor remoto:

Ejemplos de configuración del servidor

• Para TCP: @@10.10.10.10:514
• Para UDP: @10.10.10.10:514

Elegir TCP o UDP

• TCP (@@) proporciona entrega garantizada; úselo para registros de auditoría y cumplimiento.
• UDP (@) es enviar y olvidar: menor sobrecarga, pero los mensajes pueden perderse bajo carga.

Puerto del colector

Escuchar en el puerto 514 requiere privilegios de root en el colector. Muchos colectores se ejecutan sin privilegios (por ejemplo, en contenedores) y escuchan en el puerto 1514 en su lugar. Introduzca el puerto en el que escucha su colector.

1. Haga clic en Enviar en la parte inferior de la página para guardar

3. Configure la plantilla de formato

1. Busque syslog de nuevo en la configuración
2. Seleccione y edite Plantilla que definir para el servidor syslog (consulte rsyslog para el formato)
3. Introduzca un formato de plantilla syslog compatible con su servidor syslog remoto

Ejemplo de plantilla

   RFC5424,"<%PRI%>1 %TIMESTAMP:::date-rfc3339% %HOSTNAME%.aquí-su-nombre-de-host %APP-NAME% %PROCID% %MSGID% %STRUCTURED-DATA% %msg%\n"

Use el literal 1 después de <%PRI%> — es el campo de versión RFC 5424. No use %PROTOCOL-VERSION%: se representa como 0 en la red, y los colectores estrictos RFC 5424 (Promtail/Loki, Fluent Bit, Graylog moderno) rechazan la versión 0 con errores de análisis.

Reemplace aquí-su-nombre-de-host por su nombre de host real, o déjelo como .HOSTNAME_AQUÍ para usar el nombre de host predeterminado del sistema.

Reenvío desde varios sistemas VergeOS

%HOSTNAME% se resuelve al nombre del nodo sin formato (nodo1, nodo2), lo cual es ambiguo cuando varios sistemas VergeOS reenvían al mismo colector. Patrones comunes de nombre de host:

Patrón	Salida de ejemplo	Usar
%HOSTNAME%	nodo1	Un solo sistema
miclúster-%HOSTNAME%	miclúster-nodo1	Un prefijo por sistema; recomendado para varios sistemas
%HOSTNAME%.micluster.ejemplo.com	nodo1.micluster.ejemplo.com	Estilo FQDN

1. Haga clic en Enviar en la parte inferior de la página para guardar el formato

Notas del colector

La plantilla RFC 5424 anterior funciona con colectores comunes:

Colector	Notas de configuración
Graylog	Use una entrada Syslog TCP o Syslog UDP entrada.
Loki	Use un trabajo de captura de Promtail; Promtail requiere RFC 5424 estricto (la syslog versión literal). 1 Splunk
Use una entrada de datos TCP o UDP, o Splunk Connect for Syslog.	Elasticsearch
Ingiéralo mediante Logstash con el	plugin de entrada. syslog rsyslog relay
Use un	estándar imtcp o imudp oyente.

Recursos adicionales

Para obtener más información sobre plantillas syslog y opciones de formato, visite la documentación de Rsyslog.

Verificación

Después de guardar la configuración, VergeOS comienza a reenviar los registros al servidor especificado. Revise el colector para confirmar que llegan los registros de VergeOS.

Si los registros no llegan:

1. En el host del colector, capture el tráfico en el puerto syslog configurado para confirmar que llegan paquetes (reemplazar 514 con el puerto que configuró):

   tcpdump -i any -A port 514

2. Inspeccione los mensajes capturados para verificar el formato en la red. Un mensaje RFC 5424 comienza con <PRI>1 (por ejemplo, <30>1 2026-04-15T...); una versión de 0 significa que la plantilla sigue usando %PROTOCOL-VERSION% — consulte la advertencia de plantilla anterior.
3. Asegúrese de que las reglas de firewall entre VergeOS y el colector permitan el puerto y el protocolo configurados.