01Receber
Ligue o receptor de syslog na sonda remota ou no túnel VPN da empresa (aba Receptores). Ele escuta em UDP 514 e TCP 514 por padrão; a tela mostra o endereço para onde apontar o equipamento. Nada é aberto para a internet: o syslog só chega pela rede do cliente ou pelo túnel.
Entendemos RFC 3164 (o formato BSD, com ou sem hora, como o da Cisco, MikroTik, SonicWall e FortiGate) e RFC 5424. No TCP, aceitamos as duas formas de separar mensagens: uma por linha e com contagem de bytes (RFC 6587). Mensagem acima de 8 KB é cortada em 8 KB. Mensagem de um endereço que não é de nenhum dispositivo cadastrado aparece como desconhecida.
02Buscar
Em Monitorar → Syslog, busque no texto, escolha a severidade mínima (as oito severidades do syslog, em três cores: erro ou pior, aviso e o resto), a origem e o período. Na busca, use aspas para uma frase, OR entre termos e - para excluir ("is down" OR timeout -debug). Não diferencia maiúscula de minúscula. Ao vivo atualiza a lista a cada poucos segundos; ao abrir uma linha ou rolar a página, o que chega vira "novas" para você mostrar quando quiser. Cada empresa só vê as suas mensagens, e quem tem acesso por grupo só vê as dos dispositivos do seu grupo.
03Sensor e regras
Cada dispositivo que manda syslog ganha sozinho um sensor Syslog, que conta as mensagens por minuto e aplica as regras. Existem três tipos de regra, e o sensor vale a pior que estiver acionada:
- Severidade mínima: N mensagens de uma severidade ou pior em M minutos. Volta ao ok quando a contagem cai abaixo.
- Padrão de texto: termos (todos ou qualquer um) ou uma expressão regular. Volta ao ok depois de N minutos sem casar, ou quando chega uma mensagem que limpa (por exemplo "is up").
- Volume: mais de N mensagens por hora, para o equipamento em laço de log.
O sensor já nasce com "Erro ou pior" e "Volume". Em Editar, use Conferir com as mensagens reais para ver quantas mensagens das últimas 24 horas a regra pegaria antes de salvar. O estado do sensor entra nos alertas como o de qualquer outro.
04Quanto tempo fica
As mensagens ficam 14 dias em todos os planos; a empresa pode reduzir esse prazo em Dados e privacidade, nunca aumentar. Mensagens de origem desconhecida ficam 7 dias. Os contadores por minuto do sensor seguem a retenção das demais medidas.
05Limites
Cada origem e cada sonda têm um teto de mensagens por segundo; o que passa do teto é descartado e contado na aba Receptores, sem derrubar a sonda. Equipamento muito falante deve filtrar o nível no próprio equipamento (Info ou Notice costuma bastar).