CSAP‑SA‑AK640：能否单独给某台服务器监听 TCP 514

结论：Web 界面没有选项可以单独针对某一台日志源开启 TCP‑514 监听H3C。 AK640 出厂被动 syslog 监听固定为 UDP 514；TCP514 在 Web 页面无配置项，不能做到 “A 服务器用 TCP514、其余设备继续 UDP514” 这种按日志源区分协议的效果H3C。

现状说明

1. 被动采集器 514 端口默认只监听UDP；Web 新增日志源填写的端口号，不是审计平台本机监听端口，只是用来标记日志源上报的端口，不会让采集器新增 TCP 监听端口。
2. Web 菜单【网络‑通信设置‑syslog 设置】只能配置审计平台向外发送 syslog，不是接收外部上报日志的监听端口，这里不能改接收协议 / 端口H3C。

可行的两种落地方案（二选一）

方案①【推荐，改动最小】服务器侧改用 Agent 采集

该服务器部署 Linux/Windows Agent，Agent 使用 TCP 5145 端口上报日志给审计平台。

• 优点：TCP 可靠传输，不需要改动采集器底层，Web 可视化配置，只针对这一台服务器生效，其他设备依旧 UDP‑514 上报；
• 路径：系统设置‑数据源配置‑日志源管理‑新增→选择 Agent 类型，安装对应 Agent 程序。

方案② 后台 Linux 底层开启 TCP‑514 全局监听（不推荐）

登录设备后台 shell 修改 rsyslog，开启 TCP 514 监听。

⚠️风险：全局生效，所有日志源全部变成 TCP514 接收，原有 UDP514 会失效；版本升级会覆盖配置；官方不支持，出问题无技术支持。 适合：全部设备都要 TCP syslog 的场景，不适合 “仅单独一台服务器 TCP”。

临时验证手段

1. 在审计平台后台抓包确认：

看报文是UDP还是TCP。 2. 服务器侧 rsyslog 测试：

• @ip:514 👉 UDP 上报
• @@ip:514 👉 TCP 上报

常见误区澄清

❌误区：在【日志源管理】新增日志源，端口填 514，就能让这台源走 TCP514。 ✅真相：这个端口字段仅用于标签、解析匹配，不会改变审计平台本机监听协议，接收依旧是 UDP。

总结

• 想要仅这一台服务器用 TCP 可靠上报日志：优先上 Agent（TCP5145），不改动全局 syslog 接收。
• 不要指望 Web 页面勾选就能单独开启 TCP‑514，产品本身没有这个功能。

结论很明确：在 CSAP-SA-AK640 的 Web 界面上，无法实现“仅针对某一台服务器单独监听 TCP 514 端口”这种精细化的按源区分。 你找很久没找到，是因为产品本身就没有提供这个功能入口。

 为什么 Web 界面找不到？

你遇到的困惑，主要源于两个容易混淆的配置点：

1. “日志源”的端口号是“标签”，不是“监听指令”
   在日志源管理中新增日志源时填写的端口号（比如 514），并不是让审计平台去监听这个端口。它只是一个标记字段，用来告诉平台：“这台设备上报的日志，其源端口是 514”。平台本机的被动采集器始终只监听 UDP 514，并不会因为你填了 TCP 514 就新增一个 TCP 监听。这个字段用于日志解析匹配，无法改变底层的接收协议。

2. “采集任务”的协议修改是全局性的
   你可能在节点管理 > 本地事件采集器 > 采集任务中，看到 syslog采集 任务可以修改协议（TCP/UDP）和端口（如 514）。但这是一个全局采集任务。如果你把它改成 TCP，那么所有通过 syslog 上报的日志源，都会被迫要求使用 TCP 协议，原有的 UDP 日志源会立即失效。官方也明确说明，syslog 服务的端口“可以修改为其他端口号，协议不能变”。

 可行的替代方案

既然无法在接收端做“按源区分协议”，就需要在发送端想办法。

方案一：使用 Agent 采集（官方推荐，改动最小）

这是最规范的解决方案。为那台需要 TCP 可靠传输的服务器单独部署 Agent 程序，Agent 会通过 TCP 5145 端口将日志上报给审计平台。这个操作只影响该服务器，其他设备继续用 UDP 514 上报，互不干扰。配置路径在 系统设置 > 数据源配置 > 日志源管理，新增时选择 Agent 类型即可。

方案二：后台修改 rsyslog（不推荐，风险高）

如果你确实需要平台全局启用 TCP 514 监听，只能登录设备后台 Shell，修改 rsyslog 配置来开启 TCP 监听。但风险极高：

• 配置全局生效，所有日志源都必须改用 TCP 514，原有 UDP 日志会全部中断。

• 系统版本升级时，该修改会被覆盖。

• 属于官方不支持的操作，出问题后无法获得技术支持。