Todo evento em um dispositivo Cisco gera uma mensagem de log: interface subindo, link caindo, usuário autenticando, mudança de rota, violação de ACL.
Por padrão, essas mensagens vão para o console e somem. Ninguém estava lá para ver. Com Syslog configurado, as mensagens vão para um servidor central onde ficam armazenadas, pesquisáveis e correlacionáveis com eventos de outros dispositivos.
Os quatro destinos de log
O Cisco IOS pode enviar mensagens de log para quatro destinos diferentes, cada um com seu próprio comando de habilitação:
Console line: exibido no terminal quando conectado via cabo console. Habilitado por padrão. Útil em configuração inicial mas consome CPU quando há muita mensagem.
Buffer local: armazenado na RAM do dispositivo. Habilitado por padrão. Consultado com show logging. Limite de tamanho — mensagens antigas são descartadas quando o buffer enche.
Terminal lines (VTY): exibido em sessões SSH e Telnet. Desabilitado por padrão. Ativado com terminal monitor por sessão. Desativado com terminal no monitor.
Syslog server: enviado para servidor externo via UDP porta 514. Não habilitado por padrão. Requer configuração explícita.
Os 8 níveis de severidade
O Syslog usa 8 níveis numerados de 0 a 7. Menor número = maior severidade.
| Nível | Nome | Descrição |
|---|---|---|
| 0 | Emergency | Sistema inutilizável |
| 1 | Alert | Ação imediata necessária |
| 2 | Critical | Condição crítica |
| 3 | Error | Condição de erro |
| 4 | Warning | Condição de aviso |
| 5 | Notice | Condição normal mas significativa |
| 6 | Informational | Mensagens informativas |
| 7 | Debug | Mensagens de debug |
O mnemônico clássico do CCNA:
Every Awesome Cisco Engineer Will Need Ice cream Daily
Emergency, Alert, Critical, Error, Warning, Notice, Informational, Debug.
Ponto importante: quando você configura um nível de severidade, o IOS envia aquele nível e todos os mais severos. logging trap informational envia os níveis 0 a 6, não só o 6. Esse detalhe cai na prova.
Configuração completa
Passo 1: timestamps nas mensagens
Sem timestamps, as mensagens mostram só o uptime do dispositivo. Inútil para correlacionar com eventos de outros sistemas.
Router(config)# service timestamps log datetime msec
Passo 2: buffer local
Router(config)# logging buffered 32768 informational
32768 é o tamanho em bytes. informational é o nível mínimo que entra no buffer.
Passo 3: configurar o servidor Syslog
Router(config)# logging host 10.0.0.50
Router(config)# logging trap informational
Router(config)# logging source-interface GigabitEthernet0/0
logging host aponta para o servidor. logging trap define o nível mínimo enviado ao servidor. logging source-interface fixa a interface de origem das mensagens — garante que chegam sempre do mesmo IP independente do caminho.
Configuração consolidada:
service timestamps log datetime msec
logging buffered 32768 informational
logging host 10.0.0.50
logging trap informational
logging source-interface GigabitEthernet0/0
Anatomia de uma mensagem Syslog
%LINK-3-UPDOWN: Interface GigabitEthernet0/1, changed state to up
A estrutura é sempre: %FACILITY-SEVERITY-MNEMONIC: descrição
LINKé o facility (subsistema que gerou a mensagem)3é o nível de severidade (Error)UPDOWNé o mnemônico (identifica o tipo exato de evento)- O texto descreve o evento
Verificação
Router# show logging
Syslog logging: enabled (0 messages dropped, 0 flushes, 0 overruns)
Console logging: level debugging, 47 messages logged
Monitor logging: level debugging, 0 messages logged
Buffer logging: level informational, 23 messages logged
Trap logging: level informational, 23 message lines logged
Logging to 10.0.0.50, 23 message lines logged
Log Buffer (32768 bytes):
*Aug 16 09:15:23.123: %LINK-3-UPDOWN: Interface GigabitEthernet0/1, changed state to up
*Aug 16 09:15:24.456: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/1, changed state to up
O show logging mostra os destinos configurados, o nível de cada um e as mensagens no buffer local.
Syslog e NTP: a combinação necessária
Syslog sem NTP é problema. Se cada dispositivo tem um relógio diferente, correlacionar eventos entre dispositivos fica impossível.
Um evento que aconteceu às 14:30 no roteador pode aparecer como 14:25 no switch se os relógios estiverem desincronizados. A linha do tempo do incidente fica incoerente.
Daí o NTP e o Syslog são configurados juntos em qualquer ambiente de produção sério.
O que a prova CCNA cobra
Syslog está no domínio IP Services. Os pontos mais frequentes:
Os 8 níveis de severidade em ordem com seus nomes. O mnemônico "Every Awesome Cisco Engineer Will Need Ice cream Daily". Que configurar um nível envia aquele nível e todos os mais severos. Os quatro destinos de log e seus comandos. Como configurar servidor Syslog com logging host. A porta UDP 514. Por que service timestamps log datetime msec importa.
FAQ
Qual o nível de severidade mais comum em produção para o servidor Syslog?
informational (6) é o padrão mais usado. Captura tudo exceto mensagens de debug, que geram volume enorme e raramente são úteis em produção. Para ambientes mais restritos, warning (4) captura só o que merece atenção.
O que é terminal monitor e quando usar?
Habilita logs na sessão SSH ou Telnet atual. Por padrão, sessões remotas não mostram logs em tempo real. terminal monitor ativa para a sessão atual. terminal no monitor desativa.
Syslog usa TCP ou UDP? UDP porta 514 por padrão. O IOS suporta TCP para maior confiabilidade, mas UDP é o padrão cobrado no CCNA.
▌ Syslog é tema de IP Services do CCNA. O diagnóstico gratuito do PacketPass mostra onde estão suas lacunas por domínio. Resultado na hora, sem cadastro.
Informações baseadas no blueprint CCNA 200-301 atual, ComputingForGeeks (junho 2026), PingLabz (julho 2026) e Study-CCNA.