Syslog Message / Facility

このページで学ぶこと

• Syslog Header / Description Boundary
• Syslog Message Format / Integrated Parsing
• Syslog Facility Interpretation
• Syslog Severity Field in Context
• Syslog Mnemonic Differentiation
• Syslog Description / Event Scope
• Syslog Optional Metadata / Suffix Interpretation

既習知識からInterpretへ

このページでは「3はSeverity」「MnemonicはMessage Type」といった単独定義の再講義を目的にしない。実Messageを見て、各Fieldを同時に正しい位置へ割り当て、Field同士を混同せずにEvent内容まで読む。

Header / Description Boundary

%LINK-3-UPDOWN: Interface GigabitEthernet1/0/1, changed state to down

%LINK-3-UPDOWNは構造化されたHeader、コロン以降は具体的なEventを表すDescriptionである。同じHeaderでもDescriptionが変われば対象Interfaceや状態は変わり得る。

Integrated Parsing

重要なのは単独Fieldの暗記ではなく、%facility-severity-MNEMONIC:descriptionを一度に正しく分解できることである。

Facility Interpretation

同じSYS FacilityでもSeverityやMnemonicは同じとは限らない。また、Message中のLINK / SYSなどと、Remote Syslog分類のlocal0〜local7は別の文脈である。

Mnemonic / Description

FacilityとSeverityが同じでもMnemonicが異なればMessage Typeを区別できる。Descriptionは対象Interface、状態変化、設定Eventなど具体的な内容を読み取るために使う。ただしDescriptionだけで根本原因やBusiness Impactまで断定しない。

Optional Metadata / Additional Suffix

0042:Sep 21 06:40:10: %LINK-3-UPDOWN: ... (Switch-2)

Sequence NumberやTimestampが前置される場合があり、Platform / Stack構成により末尾へMember情報などが付加される場合もある。これらがあってもCore HeaderのFacility / Severity / Mnemonicの位置は変わらない。

重要な注意点

• Facilityが同じでもSeverity・Mnemonic・Descriptionは個別に読む。
• Message FacilityとRemote Syslog向けlocal0〜local7を同一視しない。
• DescriptionはEventの確認情報であり、根本原因を単独で証明しない。
• Optional Metadataや追加Suffixの有無でCore Messageを誤解析しない。