Résumé

  • Un journal peut conserver la manifestation d’une panne tout en excluant le contexte qui départagerait ses causes. Cette absence peut résulter d’une configuration parfaitement exécutée.
  • RFC 9742 décrit des choix distincts pour chaque sortie. La sélection, les paramètres effectivement utilisés, la livraison et la conservation chez le collecteur restent quatre affirmations différentes.
  • L’autorité décisive est celle qui peut modifier les traces disponibles avant l’événement, puis celle qui peut établir, séparément, ce que ces paramètres ont réellement produit.

Une enquête commence avec un dossier déjà sélectionné

Le dossier paraît rassurant : les erreurs sont présentes et leur chronologie est consultable. Il peut néanmoins manquer le message moins urgent qui aurait permis de savoir si une modification antérieure était légitime. Dans ce scénario hypothétique, aucun collecteur n’a forcément dysfonctionné. Le message a simplement pu être exclu de la sortie distante dès le départ. L’enquête découvre tardivement une décision prise lorsque personne ne savait encore quelle explication deviendrait importante.

RFC 9742, publié en avril 2025 sur la voie de normalisation de l’IETF, rend ces décisions exprimables dans le modèle YANG ietf-syslog. Il configure notamment les sorties vers console, fichiers locaux et relais ou collecteurs distants. Sa publication ne démontre ni adoption chez un constructeur ni déploiement sur un équipement donné.

Le modèle commun peut faciliter une comparaison de politiques. Il ne prouve pas que l’application a produit tous les événements pertinents, que la politique a été effectivement appliquée, que les messages sont arrivés ou que leurs copies existent encore. L’expression « journalisation activée » ne résout aucune de ces différences à elle seule.

Le seuil d’urgence n’est pas un classement des preuves

Chaque action possède son sélecteur : console, fichier nommé et destination distante nommée peuvent ainsi produire des histoires différentes d’un même appareil. L’existence d’une trace dans le fichier local n’implique pas son existence dans l’archive distante.

Par défaut, une comparaison de gravité sélectionne le niveau indiqué et les niveaux plus urgents, dont les codes numériques sont plus faibles. Choisir error ne signifie donc pas sélectionner exclusivement les messages exactement de ce niveau. Cela peut toutefois exclure un contexte moins urgent dont la valeur ne deviendra évidente qu’après la panne. Une confirmation de réussite, par exemple, peut départager deux interprétations d’une intervention sans avoir été classée comme une erreur.

Les valeurs all et none sont explicites. La fonction facultative select-adv-compare permet les comparaisons equals et equals-or-higher, associées aux actions log, block et stop. Cette dernière arrête le traitement ultérieur du message. Les valeurs par défaut dans le conteneur avancé sont equals-or-higher et log. Une description sommaire du « niveau error » peut donc masquer une différence entre seuil, égalité et blocage.

Autre frontière, select-match rend disponible pattern-match. Le module normatif décrit une expression régulière POSIX portant sur SYSLOG-MSG, le message syslog complet, et non sur le seul texte final MSG. Si une sélection par facility et une expression sont toutes deux définies, les deux doivent correspondre. Une condition large peut être resserrée par l’autre.

Une modification du format ou du libellé émis par une application peut dès lors modifier la sélection sans changer la signification opérationnelle de l’événement. Il faut observer le comportement de l’implémentation concernée. Cet article ne prétend ni avoir testé un moteur particulier ni établir un ordre universel de traitement de toutes les listes de règles.

La rotation ne vend pas un horizon historique certain

Les limites de fichiers interviennent après la sélection. Avec file-limit-size, le nombre maximal de fichiers conservés et leur taille maximale deviennent configurables ; le premier paramètre a pour valeur par défaut un. Avec file-limit-duration, les paramètres rollover et retention deviennent disponibles, en minutes. Aucune durée numérique de conservation des preuves n’est imposée par le RFC.

Le rollover ferme le fichier courant lorsqu’un événement arrive après l’intervalle prévu. La retention concerne les fichiers terminés ou fermés avant leur suppression. Ce n’est pas une promesse que chaque événement restera consultable pendant une durée donnée à partir de sa survenue. Lorsque les limites d’archives ne sont pas fournies, elles dépendent de l’implémentation.

L’annexe B.3 propose, à titre informatif, une manière de nommer, renommer et supprimer les archives. Elle ne prescrit pas un algorithme obligatoire ni une priorité complète entre limites combinées. Calculer nombre de fichiers fois taille maximale ne donne donc pas une durée historique garantie.

Une rafale de messages peut consommer plus vite une archive limitée en taille. Il s’agit d’un mécanisme de capacité, pas d’une durée mesurée : compression, taille des événements, comptage des archives et autres limites influent sur le résultat. Des paramètres inchangés peuvent ainsi laisser moins de passé disponible au moment où les symptômes se multiplient.

La conservation locale peut aussi partager la défaillance de l’équipement. Déporter les traces modifie cette dépendance ; cela ne supprime pas les questions de livraison ni la politique de conservation du destinataire.

Ce que protège une connexion authentifiée

Dans chaque entrée de destination distante, le modèle impose un choix entre UDP et TLS, avec des listes d’adresses à l’intérieur du cas choisi. Les ports par défaut sont respectivement 514 et 6514. Cette portée est celle de l’entrée ; elle ne signifie pas que toutes les destinations nommées doivent utiliser le même transport.

RFC 5426 expose les pertes possibles sans notification en UDP et le caractère non autoritatif de l’ordre d’arrivée. TLS apporte une protection de confidentialité et d’intégrité sur le saut de transport, sous réserve d’une authentification et d’une autorisation appropriées. Selon RFC 5425, §3, l’identité authentifiée de l’émetteur du transport n’est pas nécessairement celle du champ HOSTNAME. Faire confiance à un relais ne valide pas automatiquement chaque attribution contenue dans son message.

Le §6.3 précise en outre l’absence d’accusé de réception applicatif : après une rupture, l’émetteur ne sait pas toujours quels messages sont parvenus à l’application distante. La persistance, la suppression ultérieure et la vérité du contenu sont encore d’autres questions. Le chiffrement ne rétablit pas un message rejeté avant l’envoi.

La fonction facultative structured-data, disponible pour fichiers et destinations distantes, est par défaut false. False écrit NILVALUE ; true écrit un ou plusieurs éléments structurés. RFC 5424 définit ce champ analysable séparément du texte facultatif. L’activer ne crée pas une information inexistante et ne certifie pas son interprétation. Le désactiver peut retirer un contexte structuré attendu par un consommateur.

Une compatibilité à établir, non à supposer

YANG Library, RFC 8525, identifie révisions, fonctions prises en charge, deviations et schémas par datastore. La règle if-feature rend les nœuds concernés conditionnels. Le nom ietf-syslog ne suffit donc pas à prouver l’existence d’un filtre regex ou d’une conservation pilotée par durée. Une deviation déclarée reste une différence à examiner, pas une équivalence obtenue par déclaration.

L’annexe B.1 de RFC 9742 avertit également que des facilities étendues peuvent ne pas fonctionner avec RFC 5424 et concerner seulement une journalisation locale apparentée. La classification locale n’est pas forcément portable. facility-override peut remplacer la facility envoyée ; l’interface source facultative choisit une sortie réseau, sans authentifier une identité institutionnelle.

RFC 8342 distingue enfin la configuration intended, transformée et destinée à être appliquée, des paramètres effectivement utilisés dans operational, avec des limites de restitution. Comparer ces vues éclaire le présent. Une capture après réparation ne prouve pas seule l’état pendant l’incident.

Le standard fournit un vocabulaire pour examiner ces frontières, pas une chaîne de garde, un audit automatique ou une histoire exhaustive. Tant que sélection effective, livraison et préservation restent inconnues, « aucune trace trouvée » décrit d’abord le dossier disponible. Cela ne tranche pas la réalité de l’événement.