日志外发可将飞连记录的业务日志发送到企业自有的 Syslog 服务器或 Elasticsearch 集群，便于集中分析和长期保存。各类日志可分别开启外发，并支持同时配置多种协议。首次开启仅发送新产生的日志，不补发开启前的历史日志。 Syslog 是计算机系统用来将事件数据日志发送到中心位置进行存储的协议，在飞连中使用 RFC 5424 定义的格式进行发送。 ## 准备工作开始前，请确认已具备一台可用的 Syslog 服务器（支持 TCP、UDP 或 TCP + TLS）或 Elasticsearch 集群（已建好索引、并有具备写入权限的账号），并满足以下网络条件： **SaaS 版** * **连通性**：您的 Syslog 服务器或 Elasticsearch 集群必须具有公网 IP，或已通过专线与飞连云端互通。 * **防火墙策略**：在企业防火墙上放行来自飞连云端服务器的入站流量，目标端口取决于下方配置。 **私有化版** 私有化环境通常处于企业内网，外发配置需重点关注内网各节点间的**路由连通性**。 * **连通性**：请确保飞连后端管理服务器与您的 Syslog / Elasticsearch 服务器之间网络互通。 * **端口放行**：在内网防火墙上放行对应的协议端口。 ## 将日志外发到 Syslog 1. 登录管理后台。 2. 在左侧导航栏，选择**日志审计**。 3. 在**日志审计**页面的右上角，单击**日志外发管理**。 ![图片](https://lf3-static.bytednsdoc.com/obj/eden-cn/809eh7uhkbd/topic-docs/feilian/log-audit-20260921/XKD8bFqvuorjRdx2wTjcplOjncc.webp) 4. 在**日志外发管理**页面的场景列表中，搜索需要外发的日志类型，并开启开关。 5. 在页面右上角单击**编辑**，进入协议参数配置。 ![图片](https://lf3-static.bytednsdoc.com/obj/eden-cn/809eh7uhkbd/topic-docs/feilian/log-audit-20260921/PxSBb0Y5hoRmOIxbrnJcIogJnOc.png) 6. 开启 Syslog 开关，并填写以下参数。 |**参数** |**说明** | |---|---| |**传输协议** |在地址栏左侧，点击按钮选择 **TCP**、**UDP** 或 **TCP + TLS**。 | |**地址** |填写指向 Syslog 程序所在服务器的 IP 地址和监听端口。请按照 `IP:端口` 的格式输入，例如 `192.168.1.50:514` 或 `log.example.com:6514`。 | 7. 确认参数配置无误后，点击页面右上角的**保存**使配置生效。 ## 将日志外发到 Elasticsearch 1. 登录管理后台。 2. 在左侧导航栏，选择**日志审计**。 3. 在**日志审计**页面的右上角，单击**日志外发管理**。 ![图片](https://lf3-static.bytednsdoc.com/obj/eden-cn/809eh7uhkbd/topic-docs/feilian/log-audit-20260921/I7fnbVEf9oBdh4xJl9icGHhTnjb.webp) 4. 在**日志外发管理**页面的场景列表中，搜索需要外发的日志类型，并开启开关。 5. 在页面右上角单击**编辑**，进入协议参数配置。 6. 开启 Elasticsearch 开关，并填写以下参数。 ![图片](https://lf3-static.bytednsdoc.com/obj/eden-cn/809eh7uhkbd/topic-docs/feilian/log-audit-20260921/Md63bbgzAojMe5xSq17cT0BxnNh.webp) |**参数** |**说明** | |---|---| |**服务地址** |指向 Elasticsearch 服务的完整 URL 连接地址。请务必包含协议头（`http/https`）及端口号，例如`http://192.168.1.100:9200` 或 `https://es.example.com:9200` 。 | |**索引名称** |用于存储日志的 Index Name，建议使用小写字母和下划线。示例：`feilian_device_logs` | |**用户名/密码** |请输入具有该索引写入权限的用户名和密码。 | 7. 确认参数配置无误后，点击页面右上角的**保存**使配置生效。 ## 验证接收结果配置完成后，触发一次行为事件，以产生一条所选类型的新日志，并在接收端检查是否收到对应记录。例如，验证 ZTNA 连接日志时，分别执行代理连接和断开，核对 x_key、员工、设备、连接时间及操作类型。验证管理员操作日志时，产生新的配置变更并检查 admin_audit_log。 ## 问题排查未收到日志时，先确认外发开关已开启且配置已保存，再检查接收端地址、监听端口、防火墙及网络连通性。Elasticsearch 还需检查索引名称、账号权限及服务返回的错误。验证时应产生新日志，不能仅检查首次配置前的历史记录。 ## FAQ ### 日志外发是实时外发吗？正常情况下，日志会在产生后的 **1 分钟内**外发。外发任务因用户操作停止或网络异常而中断后，恢复时会从上次外发成功的最后一条日志继续。首次配置外发时，仅发送新产生的日志，不补发历史日志。 ### 网络异常时，日志外发会重试吗？是否重试取决于外发协议： * **Elasticsearch**：如果服务返回参数错误，会丢弃该条日志，不再重试；如果发生网络错误，则会持续重试，暂无重试次数上限。 * **Syslog（UDP）** ：UDP 无法保证消息送达，因此每条日志只发送一次，不重试。