الخلاصة

  • في السلوك الذي وثّقه RFC 3164، يضيف المرحّل توقيته المحلي الحالي عندما تكون PRI صالحة ويكون TIMESTAMP غائبًا أو غير صالح، ويُستحسن أن يضيف هوية الجهاز كما يعرفها.
  • ظلّ طول الحزمة بعد الإضافة محدودًا بـ1024 بايت؛ فإذا تجاوزته وجب قطع نهايتها، ولو ضاعت بذلك معلومة حيوية من المحتوى الأصلي.
  • فرّقت المواصفات اللاحقة بين المنشئ والمرحّل والمجمّع وأدوار النقل، لكنها لم تجعل الرأس المنضبط أو الإطار الكامل أو نظير TLS الموثّق دليلًا شاملًا على أصل الرسالة.

إصلاح البنية كان يستهلك من مادة الدليل

نشر RFC 3164 سنة 2001 وصفًا لممارسة BSD syslog القائمة. ميّز الجهاز الذي ينشئ الرسالة عن المرحّل الذي يتلقاها ويرسلها إلى الأمام، وعن المجمّع الذي يتلقاها ولا يعيد ترحيلها. ولم يكن المرسل ملزمًا بمعرفة دور الطرف التالي.

يفحص المرحّل PRI أولًا، ثم يبحث عن TIMESTAMP بالشكل المتوقع. إذا صحّ الحقلان وكانت سياسته تقضي بتمرير تلك الأولوية، وجب أن يرسل الحزمة بلا تغيير. ولم يكن مطالبًا بإثبات دقة الساعة أو مطابقة HOSTNAME لمصدر الشبكة. صلاحية الصيغة كانت قرارًا لمعالجة الحزمة، لا شهادة بصحة الرواية.

إذا كانت PRI مقروءة لكن TIMESTAMP مفقودًا أو غير صالح، كان على المرحّل أن يضع بعد PRI طابعًا زمنيًا ومسافة. ذلك الطابع هو الوقت المحلي الحالي للمرحّل نفسه، وليس وقت الواقعة المستعاد من الجهاز. وكان يُستحسن أن يضيف HOSTNAME مستخدمًا اسم الجهاز كما يعرفه، أو عنوان IP إن تعذر الاسم. ثم يلحق بقية ما استلمه بوصفه CONTENT.

بعد ذلك يعود الحد نفسه: لا يجوز أن تتجاوز الحزمة 1024 بايت. يقيس المرحّل الشكل الموسع، فإن جاوز الحد اقتطعه إلى 1024 بايت. وينص RFC صراحة على أن معلومة حيوية قد تضيع من نهاية الحزمة الأصلية.

لم تكن الإضافة إذن خانة مجانية. تنافس وقت المراقبة وهوية الجهاز المستنتجة نصّ الحدث على ميزانية واحدة. قد يكسب المجمّع مقدمة مرتبة، لكنه يخسر رمز الخطأ أو اسم الكائن أو نتيجة العملية أو كلمة نفي في السطر الأخير.

غياب PRI جعل ثمن التنظيم أكبر

عندما تكون PRI غائبة أو غير قابلة للتعرّف، يضيف المرحّل القيمة الافتراضية 13، ثم الوقت، ويفضّل أن يضيف HOSTNAME، ويعامل كامل الحزمة المستلمة كمحتوى. وبعد ذلك يطبّق اقتطاع 1024 بايت نفسه.

قد يرى المرحّل التالي حزمة ذات PRI وTIMESTAMP صالحين فيمررها كما هي. ولا يلزم أن تكشف النسخة النهائية أي الحقول كتبها الجهاز وأيها أضافها أول وسيط، كما أن اللاحقة المحذوفة قد لا تترك علامة. انتظام الصيغة يستطيع أن يحجب تاريخ التحويل.

وكان TIMESTAMP القديم يفتقر إلى السنة والمنطقة الزمنية. يستطيع المجمّع تخمين السنة من زمن الأرشفة، لكن التأخير وتبدّل السنة يضعفان التخمين. الوقت الذي أضافه المرحّل يثبت ملاحظته هو على نحو أفضل مما يثبت زمن الحدث عند المصدر.

معرفة نهاية الإطار لا تعيد نهاية حُذفت قبله

جاء RFC 5424 سنة 2009 بتعريف أوضح للمنشئ والمرحّل والمجمّع ومرسل النقل ومستقبله. يضم الرأس VERSION وTIMESTAMP وHOSTNAME وAPP-NAME وPROCID وMSGID، ثم بيانات منظّمة. وأصبحت حدود الحجم تابعة لنقل الرسالة: يجب على كل مستقبل قبول 480 ثُمانية على الأقل، ويُستحسن أن يقبل 2048.

إذا تجاوزت الرسالة قدرة المستقبل، يُستحسن أن يقتطع الحمولة، وله أن يهمل الرسالة. وإذا اقتطعها وجب أن يكون القطع من النهاية. يحمي ذلك البداية نسبيًا، لكنه قد يترك UTF-8 أو البيانات المنظّمة في صورة غير صالحة. وتحذّر فقرة الأمن من استغلال الاقتطاع لإخفاء معلومات حيوية، وتوصي بوضع المهم مبكرًا.

يستخدم RFC 5425 مع TLS عدد الثُمانيات، ثم مسافة، ثم الرسالة. يعرف المستقبل حد الرسالة حتى لو امتدت عبر سجلات TLS عدة. لكن هوية مرسل النقل التي وثقها TLS لا يلزم أن تطابق HOSTNAME. الحماية قفزة بقفزة، ولا توقّع تلقائيًا ادعاءات الأصل داخل المحتوى.

يضع RFC 5426 رسالة syslog واحدة، كاملة أو مقتطعة، في كل مخطط UDP. ويوثّق RFC 6587 عدّ الثُمانيات والتأطير بعلامة نهاية فوق TCP. كلاهما يحدد ما هو موجود الآن، ولا يعيد ما حذفه مرحّل سابق.

أما سجل IANA لمعاملات syslog فيفسّر أرقام facility وseverity والإصدار ومعرّفات البيانات المنظمة. التسجيل يفك الترميز؛ ولا يثبت التنفيذ أو الإعداد أو الهوية أو التسليم أو اكتمال السجل.

المصادر