基礎
syslog サーバとは？ 仕組み・ポート・RFC を基礎から解説
ファイアウォール、スイッチ、無線 AP、UPS、そしてサーバ。ネットワークの中の機器は、それぞれが日々ログを吐き出しています。syslog サーバとは、それらのログを一か所に集めて保存し、あとから検索できるようにするための仕組みです。本稿では、syslog というプロトコルの成り立ちから、ポート番号や RFC の違い、導入のメリットまでを基礎から整理します。
syslog サーバとは
syslog（シスログ）は、機器やソフトウェアが発生させたログメッセージをネットワーク越しに送るための、事実上の標準プロトコルです。1980 年代の UNIX に由来する古い仕組みですが、その単純さゆえに、今日でもほとんどのネットワーク機器 —— ファイアウォール、L2/L3 スイッチ、無線 AP、ルータ、UPS、ストレージ —— が「syslog の送信先」を設定できるようになっています。
そして、その送信先として待ち受け、届いたログを受信・保存・検索可能にするのが syslog サーバ（syslog 集約サーバ、ログサーバとも呼ばれます）です。機器側は「どこへ送るか」を IP アドレスひとつで指定するだけでよく、受け手を一台立てるだけでネットワーク全体のログが一か所に集まる —— この手軽さが、syslog が長く使われ続けている理由です。
syslog の仕組み — 送信元・中継・受信
syslog の登場人物は、大きく三つに分けられます。
- 送信元（Originator） —— ログを生み出す機器やソフトウェア。ネットワーク機器のほか、Linux の rsyslog や、転送エージェント（Fluent Bit など）を入れた Windows サーバも送信元になれます。
- 中継（Relay） —— 受け取ったログを別のサーバへ転送する役。拠点ごとに集めてから本社へ送る、といった多段構成で使われます。小規模環境では省略されることがほとんどです。
- 受信（Collector） —— 最終的にログを受け取り、保存する syslog サーバ本体。
送信は基本的に一方通行で、送信元は「届いたかどうか」を確認しません（UDP の場合）。この割り切りが構成を単純にしている一方、後述するとおり、受け側の設計 —— 取りこぼさない、読めなくても捨てない —— が重要になります。
ポート番号 — UDP/TCP 514 と TLS 6514
syslog で使われる代表的なポートは次の三つです。
| ポート | プロトコル | 特徴 |
|---|---|---|
udp/514 | UDP（平文） | 最も広く使われる伝統的な方式。軽量だが、到達保証はなく、輻輳時にパケットが失われ得る。 |
tcp/514 | TCP（平文） | コネクション型で UDP より到達性が高い。長いメッセージも扱いやすい。 |
tcp/6514 | TLS（暗号化） | RFC 5425 で定められた syslog over TLS。経路上の盗聴・改竄への対策になる。対応可否は機器による。 |
実務では、まず平文の 514 で受信を始め、機器が対応していれば重要度の高い経路から TLS 化していく、という順序が現実的です（詳しい使い分けは「UDP と TCP のどちらを使うべき？」で解説しています）。平文である以上、syslog は信頼できる管理されたネットワークの内側で使うのが大前提となります。
RFC 3164 と RFC 5424 の違い
syslog のメッセージ形式には、大きく二つの規格があります。
RFC 3164（BSD syslog）
長年使われてきた事実上の慣習を 2001 年に文書化したもの。タイムスタンプに年が含まれない、タイムゾーンの情報がない、といった曖昧さを抱えていますが、対応機器は圧倒的に多く、現場で受信するログの多くは今もこの形式です。
RFC 5424（現行規格）
2009 年に定められた後継規格。年とタイムゾーンを含む正確なタイムスタンプ、構造化データ（SD-ELEMENT）などが導入され、機械処理に向いた形になりました。ただし機器側の対応はまちまちです。
受信側の syslog サーバとしては、両方式を解釈できること、そしてどちらにも当てはまらない「規格外」のメッセージを捨てずに残せることが大切です。現実の機器は規格どおりのログばかりを送ってはくれません。たとえば Yagura は RFC 3164／5424 の両方を解析しつつ、解析に失敗したメッセージも原文のまま「解析失敗」の印を付けて保存する設計を採っています。
ファシリティとシビリティ
syslog の各メッセージには、先頭の PRI 値として二つの属性が符号化されています。
- ファシリティ（Facility） —— ログの出どころの分類。kern（カーネル）、daemon、auth、local0〜local7 など 24 種類。ネットワーク機器は local 系を使うことが多くあります。
- シビリティ（Severity） —— 重要度。Emergency（0）から Debug（7）までの 8 段階で、数字が小さいほど深刻です。
集約後の検索では、このシビリティが最初のフィルタになります。「まず Warning（4）以上だけを眺める」「Error（3）以上は通知する」といった運用の軸を作れるからです。
syslog サーバを導入するメリット
ログを各機器に置いたままにせず、syslog サーバへ集約することには、次のような利点があります。
- 障害調査が速くなる —— 機器ごとに管理画面へ入って回る必要がなく、一つの画面で時系列に横断検索できる。障害の相関（スイッチの障害と AP の切断が同時刻、など）も見えやすくなります。
- ログが消えない —— 多くのネットワーク機器の内蔵ログは容量が小さく、再起動や上書きで消えます。障害でまさに機器が落ちたとき、その機器の中のログは読めません。外に出しておくことが唯一の保険です。
- 証跡が残る —— 設定変更やログイン失敗の記録を機器の外に保全でき、監査やセキュリティインシデント調査の土台になります。
- 異常の早期検知 —— 集約されているからこそ、「エラーが急増した」「来るはずのログが来ていない」といった変化に気づけます。
運用上の注意点
心 得
syslog は既定では平文のプロトコルです。syslog サーバは管理された社内ネットワークの内側に置き、インターネットへ露出させないこと。保存されたログには機微な情報が含まれ得るため、閲覧できる人の範囲も意識しておくこと。
あわせて、保存の設計も最初に決めておくと運用が楽になります。保持期間（例: 30 日で自動削除）、ディスク容量の見積り、そして受信の取りこぼしを観測できる仕組みがあるか —— この三点は、製品選定の段階から確認しておきたい観点です。