<div dir="auto">The rfc says a single space separates values, so syslog-ng behavior seems to be correct.<div dir="auto"><br></div><div dir="auto">You can always chop a space off as a rewrite rule. And with the recent application adapters framework, you can also submit this quirk into syslog-ng, so it is able to fix this behavior out of the box.</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Feb 17, 2018 17:29, "Evan Rempel" <<a href="mailto:erempel@uvic.ca">erempel@uvic.ca</a>> wrote:<br type="attribution"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Our VMWare team has been busy upgrading out infrastructure to 6.5 which is great, but the syslogs started showing up as<br>
<br>
<br>
2018-02-17T07:00:12 <a href="http://esx.host.name" rel="noreferrer" target="_blank">esx.host.name</a> <a href="http://auth.info" rel="noreferrer" target="_blank">auth.info</a> 1 2018-02-17T07:00:12.<a href="tel:162028-08" value="+3616202808" target="_blank">162028-08</a>:<wbr>00 <a href="http://esx.host.name" rel="noreferrer" target="_blank">esx.host.name</a> sshd 4662 - -  Did not receive identification string from 142.104.139.163 port 51088<br>
<br>
which I recognise as RFC5425, So I added the flags(syslog-protocol) to my network source definition. Now the log message arrives much nicer as<br>
<br>
<br>
2018-02-17T07:48:12 <a href="http://esx.host.name" rel="noreferrer" target="_blank">esx.host.name</a> <a href="http://auth.info" rel="noreferrer" target="_blank">auth.info</a> sshd[20835]:  Did not receive identification string from 142.104.139.163 port 42060<br>
<br>
but if you look very closely you will notice that there are 2 spaces in "sshd[20835]:  Did" and in the original logged message there were 2 spaces preceding the word "Did".<br>
<br>
Has anyone seen this before (or currently with your own VMWare 6.5). I'm trying to figure out if this is a bug in syslog-ng or a bug in vCenter 6.5 or a config error on my systems.<br>
<br>
Thanks,<br>
<br>
<br>
Evan.<br>
<br>
______________________________<wbr>______________________________<wbr>__________________<br>
Member info: <a href="https://lists.balabit.hu/mailman/listinfo/syslog-ng" rel="noreferrer" target="_blank">https://lists.balabit.hu/mailm<wbr>an/listinfo/syslog-ng</a><br>
Documentation: <a href="http://www.balabit.com/support/documentation/?product=syslog-ng" rel="noreferrer" target="_blank">http://www.balabit.com/support<wbr>/documentation/?product=<wbr>syslog-ng</a><br>
FAQ: <a href="http://www.balabit.com/wiki/syslog-ng-faq" rel="noreferrer" target="_blank">http://www.balabit.com/wiki/sy<wbr>slog-ng-faq</a><br>
<br>
</blockquote></div></div>