Zusammenfassung

  • RFC 3164 begrenzt das vollständige Legacy-syslog-Paket auf 1.024 Byte und verpflichtet ein Relay, einen fehlenden Zeitstempel einzufügen; ein Hostname wird empfohlen.
  • Überschreiten die Ergänzungen die Grenze, muss das Relay das Paket kürzen. Der RFC warnt, dass dadurch wichtige Informationen am Ende der ursprünglichen Nachricht verloren gehen können.

Der Header verbraucht dasselbe Budget

Ein Gerät sendet ein fast vollständig gefülltes syslog-Paket ohne gültigen Zeitstempel. Vor dem Weiterleiten prüft das Relay das PRI-Feld. Nach RFC 3164, Abschnitt 4.3.2, muss es seine aktuelle lokale Zeit hinter PRI einfügen und sollte zusätzlich einen Hostnamen ergänzen, wenn es ihn bestimmen kann. Der verbleibende empfangene Inhalt wird zum CONTENT der Nachricht.

Diese Anreicherung kostet Bytes. Abschnitt 4.1 begrenzt das gesamte Paket, nicht nur den Ereignistext: PRI, HEADER und MSG teilen sich 1.024 Byte. Überschreiten Zeitstempel, Hostname und Trennzeichen zusammen die Grenze, muss das Relay die Länge prüfen und das Paket auf 1.024 Byte kürzen. Der RFC weist ausdrücklich darauf hin, dass dadurch wichtige Informationen am Ende des Originalpakets verloren gehen können.

Das Ergebnis kann weiterhin ordentlich aussehen. Der Collector sieht eine PRI und einen plausiblen Header, obwohl die letzten Bytes des Ereignisses fehlen könnten: eine Begründung, ein Kommandoergebnis, eine Gerätekennung oder ein Diagnostikwert. Das sind mögliche Beispiele, keine behaupteten Vorfälle. Die Regel macht das Nachrichtenende verletzlich, wenn die Ergänzung einen bereits langen Eingang über die gemeinsame Grenze hebt.

Normative Regel, keine Implementierungsstatistik

RFC 3164 ist ein Informational-Memo vom August 2001, das das BSD-syslog-Protokoll dokumentiert. Es belegt nicht, dass jedes Relay die Regel umsetzte. Abschnitt 4.2 lässt jeden gültigen syslog-Inhalt eines UDP-Pakets an Port 514 zu und empfiehlt, PRI, HEADER und MSG schon am Sender mitzugeben, damit das Relay nichts ändern muss. Abschnitt 6.1 verlangt, dass Empfänger bei mehr als 1.024 Byte nicht versagen, und beschreibt unterschiedliche beobachtete Verhaltensweisen. Keine der Stellen misst Häufigkeit, Konformität oder tatsächlich gespeicherte Collector-Inhalte.

Die Nachrichtengrenze ist auch nicht das Path-MTU. IP-Fragmentierung, UDP-Verarbeitung und Kürzung auf Anwendungsebene sind unterschiedliche Mechanismen. Die eingefügte Zeit ist die aktuelle lokale Zeit des Relays, nicht zwingend die Ereigniszeit. Der Hostname entspricht dem Wissen des Relays oder wird durch die IP-Adresse ersetzt; der RFC verlangt keine Authentisierung dieser Angabe.

Spätere Formate klären die Ebenen, belegen aber keine Migration

RFC 5424 ersetzte RFC 3164 durch einen expliziteren Header und strukturierte Daten. RFC 6587 beschreibt TCP-Framing und nennt die historische Grenze von 1.024 Oktett als für standardisiertes Syslog erweitert. RFC 3195 zählt anders: Sein RAW-Profil begrenzt jeden Ereignistext auf 1.024 Byte, ohne BEEP-Framing-Overhead. Der Vergleich zeigt, dass dieselbe Zahl unterschiedliche Ebenen messen kann. Er beweist nicht, dass ältere Sender oder Relays nach Veröffentlichung neuer RFC verschwanden.

Die historische Lehre ist eng umrissen: Ein Relay kann beim Hinzufügen von Kontext dasselbe endliche Budget verbrauchen wie der transportierte Inhalt. Ein Paket kann ankommen, geparst und gespeichert werden, ohne dass damit die Vollständigkeit des Originals bewiesen wäre. Dafür braucht man Quellbytes, Ein- und Ausgaben jedes Relays, Collector-Parsing und einen späteren Readback.

Quellen