Rsyslog消息的tcpdump信息中的奇怪條目

Question

我的rsyslog有問題，它可以用作某些設備的日志收集器。 當我檢查TCP轉儲時，我看到波紋管即將到來。

Facility user (1), Severity info (6)
    Msg: 1 2014-01-26T15:21:25.345+03:00 XXX_XXX-Node1 [|syslog]
15:21:37.526894 IP (tos 0x0, ttl 245, id 36018, offset 0, flags [none], proto UDP (17), length 708) xxx.syslog > xxx.syslog: SYSLOG, length: 680

長度為680。在升級遠程端之前，​​它的長度是相同的，並且工作正常。 除了遠端版本（日志發送方）外，什么都沒改變，但是那里有一個奇怪的[| syslog]條目，我看不到該消息。

有人打過那種事嗎？ 您有什么想法為什么會發生嗎？

謝謝蘇納

Answer 1

默認情況下， tcpdump不會捕獲整個數據包。 如果閱讀tcpdump手冊頁，則會發現有關-s選項的信息，該信息表示：

   -s     Snarf snaplen bytes of data from each  packet  rather  than  the
          default  of 65535 bytes.  Packets truncated because of a limited
          snapshot are indicated in the output  with  ``[|proto]'',  where
          proto  is the name of the protocol level at which the truncation
          has occurred...

您的輸出包含[|syslog] ，它指示數據包被截斷了。 嘗試指定一個較大的值（例如tcpdump -s 1500 ... ）。