Puerto 514 (Syslog): para qué sirve y cómo protegerlo
El puerto 514 UDP es el de syslog, el protocolo con el que routers, firewalls y servidores envían sus logs a un servidor central. Por UDP no hay confirmación de entrega ni cifrado; para logs importantes se usa syslog sobre TCP o con TLS (6514).
Qué es el puerto 514
Centralizar los logs permite ver en un único lugar qué pasa en toda la red y conservarlos aunque un equipo comprometido borre los suyos. rsyslog, syslog-ng, Graylog o Loki pueden recibirlos.
¿Es peligroso tener abierto el puerto 514?
Riesgo medio: Solo expuesto con autenticación fuerte o limitado por IP.
- Cualquiera que llegue al puerto puede inyectar logs falsos.
Cómo proteger el puerto 514
- Restringe el puerto a las IPs de los equipos que envían logs.
- Usa TLS (6514) si los logs cruzan redes no confiables.
Comandos y configuración
Comprobar si el puerto 514 está abierto
sudo ss -ulpn | grep ':514 '
sudo nmap -sU -p 514 203.0.113.10rsyslog: recibir por UDP 514
# /etc/rsyslog.d/10-remoto.conf
module(load="imudp")
input(type="imudp" port="514")
# sudo systemctl restart rsyslog
logger -n 192.168.1.5 -P 514 "prueba desde $(hostname)"También puedes comprobarlo desde fuera de tu red con nuestro escáner de puertos online.
Preguntas frecuentes
¿UDP o TCP para syslog?
UDP es más ligero pero puede perder mensajes. Para logs de seguridad o auditoría, TCP o TLS.