Agentes, reenviadores y colectores

Un agente es un programa instalado en la fuente que lee sus registros y los manda. Su ventaja es que sabe lo que ya envió y puede guardar en disco lo pendiente cuando el destino no responde. Su costo: hay que instalarlo, actualizarlo y vigilar que siga vivo.

Sin agente hay dos caminos. En el primero, la fuente empuja: el equipo manda sus registros por syslog a una dirección. En el segundo, el colector tira: consulta periódicamente la API de un servicio en la nube y pide lo nuevo desde la última vez. Entre la fuente y el almacén suele haber un colector o reenviador que recibe, pone en cola, reintenta y reenvía.

Un envío por UDP no tiene confirmación. La especificación de syslog sobre UDP lo dice sin rodeos: no hay mecanismo para detectar ni corregir la pérdida de datagramas, y el orden de llegada tampoco está garantizado. Si la red se congestiona o el colector está ocupado, esos eventos desaparecen sin dejar rastro en ninguna de las dos puntas.

Con TCP hay conexión y confirmación de entrega a la capa de transporte; con TLS, además, cifrado y verificación del extremo. Ninguno de los dos salva un evento que el equipo nunca llegó a enviar, pero sí evitan perder en la red lo que ya salió.

Una forma de saber si una fuente pierde eventos es comparar su propio contador (los eventos que dice haber enviado) con el del colector (los que recibió) en la misma hora. Si coinciden, el tramo es fiable; si no, la diferencia es lo que se perdió entre los dos puntos. Un contador de la fuente es un dato propio y puede estar mal, pero una diferencia grande sostenida casi nunca es casualidad.

La cola en disco es lo que permite al agente aguantar una caída del colector sin perder lo que lee durante la espera. Un agente sin esa cola guarda poco en memoria y descarta cuando se llena. Ese detalle no se ve mientras todo funciona: solo importa el día en que el destino falla.

A veces hay una fuente que no admite agente ni otro transporte: un equipo de red antiguo que solo envía syslog por UDP. No se puede cambiar el equipo hoy, pero sí acortar el tramo donde se pierde.