路由器運行時產生的海量日誌（連線建立失敗、封包過濾、攻擊嘗試等），透過 Syslog 機制 集中傳送到日誌伺服器，是網管人員進行故障定位、效能分析、安全稽核的核心依據。本文以 Cisco 路由器為例，解析 Syslog 運作原理與設定要點。

Syslog 核心架構

• Syslogd 守護程式： 負責接收、處理、寫入日誌。
• /etc/syslog.conf 設定檔： 定義「記錄什麼」與「記錄到哪」。
• 啟動時讀取設定檔，依規則分流日誌訊息。

設定檔語法詳解：選擇域與動作域

每行一條規則，以 Tab 鍵 分隔兩欄（不可用空格）：

選擇域    動作域
facility.priority    /var/log/messages

1. 選擇域 = 設備代碼 + 優先級

常用設備代碼：

代碼	說明
auth	系統安全與認證
cron	排程任務
daemon	背景服務
kern	核心
mail	郵件系統
syslog	Syslog 本身
user	使用者程式

優先級 (由低到高)： debug < info < notice < warning < err < crit < alert < emerg

• 指定 info 即包含 info 以上所有等級。
• 特殊符號：*(所有等級)、=(僅該等級)、!(排除該等級及以上)。

2. 動作域 = 記錄目的地

• 檔案路徑： 如 /var/adm/maillog (需以 / 開頭)。
• 遠端主機： @192.168.1.100 (傳送至遠端 Syslog 伺服器)。
• 使用者終端： root,admin (發送給特定登入使用者)。
• 所有使用者： * (廣播)。

路由器端設定要點 (Cisco IOS)

logging host 192.168.1.100      ! 指定 Syslog 伺服器 IP
logging trap informational      ! 發送 informational 以上等級
logging source-interface Loopback0 ! 指定來源介面 IP，利於識別
service timestamps log datetime msec ! 加入毫秒級時間戳

日誌分析實戰價值

• 故障定位： 介面 Up/Down、鄰居關係變化、CPU 飆高、記憶體洩漏。
• 安全稽核： 登入失敗、ACL 觸發、DoS 攻擊特徵、異常流量模式。
• 效能基準： 長期收集建立基線，異常偵測更精準。

建議部署專用日誌分析平台 (如 ELK Stack, Graylog, Splunk) 進行集中儲存、索引、視覺化與告警，將被動查閱轉為主動防禦。