CSAP‑SA‑AK640：能否单独给某台服务器监听 TCP 514

结论：Web 界面没有选项可以单独针对某一台日志源开启 TCP‑514 监听H3C。 AK640 出厂被动 syslog 监听固定为 UDP 514；TCP514 在 Web 页面无配置项，不能做到 “A 服务器用 TCP514、其余设备继续 UDP514” 这种按日志源区分协议的效果H3C。

现状说明

1. 被动采集器 514 端口默认只监听UDP；Web 新增日志源填写的端口号，不是审计平台本机监听端口，只是用来标记日志源上报的端口，不会让采集器新增 TCP 监听端口。
2. Web 菜单【网络‑通信设置‑syslog 设置】只能配置审计平台向外发送 syslog，不是接收外部上报日志的监听端口，这里不能改接收协议 / 端口H3C。

可行的两种落地方案（二选一）

方案①【推荐，改动最小】服务器侧改用 Agent 采集

该服务器部署 Linux/Windows Agent，Agent 使用 TCP 5145 端口上报日志给审计平台。

• 优点：TCP 可靠传输，不需要改动采集器底层，Web 可视化配置，只针对这一台服务器生效，其他设备依旧 UDP‑514 上报；
• 路径：系统设置‑数据源配置‑日志源管理‑新增→选择 Agent 类型，安装对应 Agent 程序。

方案② 后台 Linux 底层开启 TCP‑514 全局监听（不推荐）

登录设备后台 shell 修改 rsyslog，开启 TCP 514 监听。

⚠️风险：全局生效，所有日志源全部变成 TCP514 接收，原有 UDP514 会失效；版本升级会覆盖配置；官方不支持，出问题无技术支持。 适合：全部设备都要 TCP syslog 的场景，不适合 “仅单独一台服务器 TCP”。

临时验证手段

1. 在审计平台后台抓包确认：

看报文是UDP还是TCP。 2. 服务器侧 rsyslog 测试：

• @ip:514 👉 UDP 上报
• @@ip:514 👉 TCP 上报

常见误区澄清

❌误区：在【日志源管理】新增日志源，端口填 514，就能让这台源走 TCP514。 ✅真相：这个端口字段仅用于标签、解析匹配，不会改变审计平台本机监听协议，接收依旧是 UDP。

总结

• 想要仅这一台服务器用 TCP 可靠上报日志：优先上 Agent（TCP5145），不改动全局 syslog 接收。
• 不要指望 Web 页面勾选就能单独开启 TCP‑514，产品本身没有这个功能。