Кратко

  • Правильно работающий фильтр может сохранить симптом сбоя, но исключить контекст, который позволил бы установить его причину. Отсутствие записи само по себе не доказывает отсутствие события.
  • Выбор сообщений, реально применённые настройки, доставка и хранение у сборщика — отдельные утверждения. RFC 9742 не объединяет их в гарантию полной истории инцидента.
  • Общая модель помогает описывать различия, но не гарантирует одинаковые возможности устройств или срок хранения. Тот, кто меняет условия заранее, влияет и на будущую проверяемость объяснений.

Расследование получает уже выбранную историю

Представим, что удалённый архив содержит ошибки аутентификации и последующий отказ, но не менее срочное сообщение о предшествовавшем вмешательстве. Именно оно могло бы помочь отличить законное изменение от другой причины. Это гипотетический пример, а не исследованный инцидент. Сборщик при этом мог работать исправно: сообщение исключили ещё при выборе для удалённого выхода.

Поэтому фраза «ничего не найдено» требует пояснения, в какой истории искали. Какие сообщения вообще могли попасть в этот выход, какие дошли, какие копии ещё существуют? Усиленный поиск не восстановит текст, который никогда не был сохранён.

RFC 9742, опубликованный в апреле 2025 года в категории IETF Standards Track, определяет модель конфигурации ietf-syslog на YANG. Она охватывает консоль, локальные файлы и удалённые relays или collectors. Публикация стандарта не свидетельствует о его внедрении конкретным поставщиком или на определённом устройстве.

Общий язык полезен для сравнения политик. Однако допустимая по схеме конфигурация не доказывает, что приложение породило все значимые события, что настройки применялись, что сообщения были доставлены или что получатель сохранил их надолго. Каждое из этих утверждений нуждается в собственном основании.

Срочность не предсказывает ценность для расследования

Селекторы применяются отдельно к консоли, именованному файлу и именованному удалённому назначению. Два выхода одного устройства могут содержать разную историю, не противореча своим настройкам. Наличие записи локально не подразумевает её наличие у удалённого сборщика. «Журналирование включено» не говорит, какие сообщения направляются в каждый выход.

Сравнение severity по умолчанию выбирает указанный уровень и более срочные уровни, которым соответствуют меньшие числовые коды. Порог error не означает только точное равенство error. Он всё же может исключить менее срочный контекст, значение которого выяснится после отказа. Подтверждение успеха действия не обязательно является ошибкой, но помогает отличить действенное вмешательство от неудачного.

Предусмотрены явные значения all и none. Необязательная функция select-adv-compare позволяет сравнения equals и equals-or-higher, а также действия log, block и stop; последнее прекращает дальнейшую обработку сообщения. В расширенном контейнере по умолчанию используются equals-or-higher и log. Краткое описание уровня скрывает разницу между порогом, равенством и блокировкой.

Функция select-match открывает pattern-match. Нормативный модуль описывает регулярное выражение POSIX для SYSLOG-MSG, всего сообщения syslog, а не лишь его заключительного текста MSG. Если настроены и facility, и шаблон, совпасть должны оба условия. Широкий выбор по facility может быть сужен вторым условием.

Изменение формата или формулировки сообщения поэтому может повлиять на выбор при неизменном операционном смысле события. Это нужно наблюдать в конкретной реализации. Здесь не измерялся определённый движок регулярных выражений и не утверждается универсальный порядок выполнения всех списков правил. Снижение шума способно одновременно уменьшить число доступных различий между причинами.

Лимит файлов не обещает исторического горизонта

После отбора остаётся вопрос выживания записи. file-limit-size делает доступными максимальное число сохраняемых файлов и максимальный размер в мегабайтах; значение числа по умолчанию — один. file-limit-duration открывает rollover и retention, измеряемые в минутах. RFC не задаёт обязательного числового срока сохранности свидетельств.

Rollover описывает закрытие текущего файла, когда после интервала поступают события. Retention относится к завершённым или закрытым файлам до удаления. Это не гарантия, что каждое отдельное событие доступно именно столько времени от своего возникновения. Если архивные ограничения не заданы, используются ограничения реализации.

Приложение B.3 предлагает информационные рекомендации по именованию, переименованию и удалению, а не обязательный алгоритм или полный порядок приоритетов совместных ограничений. Произведение числа файлов на размер не даёт надёжного периода истории: влияют сжатие, размеры событий, способ подсчёта и другие пределы.

При ограниченной ёмкости всплеск сообщений может быстрее вытеснить прошлое. Это механизм использования пространства, а не измеренная здесь формула удержания. Настройки могут оставаться прежними, тогда как самое старое доступное событие станет новее. В момент множества симптомов может исчезнуть именно предыстория, нужная для их объяснения.

Локальная запись также может разделять физическую неисправность устройства. Удалённое назначение меняет эту зависимость, но добавляет доставку и политику сохранения получателя. Локальная ротация ничего не доказывает о долговременном хранении у collector или его последующих решениях об удалении.

Защищённый канал подтверждает более узкое свойство

В каждой записи удалённого назначения требуется выбрать UDP или TLS; внутри выбранного варианта находятся списки адресов. Порты по умолчанию — 514 и 6514. Выбор относится к этой записи и не запрещает разные транспорты в отдельно именованных назначениях.

RFC 5426 описывает ненадёжную доставку UDP: сообщения могут пропасть без уведомления, а порядок прихода не является авторитетной последовательностью событий. TLS защищает конфиденциальность и целостность одного транспортного перехода при надлежащей аутентификации и авторизации. Но RFC 5425, раздел 3, отделяет удостоверенную транспортную личность отправителя от HOSTNAME внутри сообщения. Доверие к соединению relay не удостоверяет автоматически каждое утверждение о происхождении в его содержимом.

Раздел 6.3 подчёркивает отсутствие подтверждений прикладного уровня. При разрыве отправитель не всегда знает, какие сообщения достигли приложения на другой стороне. Получение, долговременное хранение и смысловая достоверность остаются разными вопросами. Шифрование не возвращает то, что селектор отверг ещё до передачи.

Необязательная structured-data для файлов и удалённых действий имеет логическое значение false по умолчанию. False записывает NILVALUE, true — один или несколько структурированных элементов. RFC 5424 определяет это разбираемое поле отдельно от необязательного текста. Включение не создаёт отсутствующие факты и не проверяет значение данных; отключение может убрать контекст, ожидаемый другим потребителем.

Возможности и действующие настройки нужно различать

YANG Library, RFC 8525, описывает версии модулей, поддерживаемые функции, deviations и схемы по datastore. if-feature делает узлы условными в зависимости от поддержки функции. Название ietf-syslog не доказывает наличие регулярных выражений или временного удержания. Объявление различия позволяет его проверить, а не превращает возможности в одинаковые.

Приложение B.1 RFC 9742 предупреждает, что расширенные facilities могут не работать с RFC 5424 и относиться лишь к локальному журналированию, похожему на syslog. Локальная классификация не обязательно переносима. facility-override заменяет отправляемую facility; необязательный интерфейс источника выбирает выход сети, но не удостоверяет организационную идентичность.

RFC 8342 различает intended — преобразованную конфигурацию, которую система пытается применить, — и operational, включающий фактически используемые настройки и состояние, с оговорками о реализации и отчётности. Сравнение помогает понять нынешний разрыв. Снимок после восстановления не доказывает сам по себе настройки времени инцидента.

RFC 9742 предоставляет язык для этих границ, а не цепочку хранения доказательств, автоматический аудит или полную историю. До установления отбора, рабочего состояния, доставки и сохранения отсутствие сообщения прежде всего описывает доступный архив. Оно не превращается автоматически в вывод об отсутствии события.