<div dir="ltr">On Tue, 26 Jun 2018 at 00:09, Scheidler, Balázs <<a href="mailto:balazs.scheidler@balabit.com">balazs.scheidler@balabit.com</a>> wrote:<br><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div>This list is not official support for Balabit's products and I am not really an rsyslog expert, but let me try to help.</div><div><br></div><div>I think the issue might be related to "framing", e.g. syslog-ng configured to expect framing whereas rsyslog not doing it. This page: <br></div><div><br></div><div><a href="https://www.rsyslog.com/doc/v8-stable/configuration/modules/omfwd.html" target="_blank">https://www.rsyslog.com/doc/v8-stable/configuration/modules/omfwd.html</a></div><div><br></div><div>contains a parameter which is TCP_framing that defaults to "no".</div><div><br></div><div>In that case, syslog-ng will drop the connection if the framing is not there. See <a href="https://tools.ietf.org/html/rfc5425#section-4.3" target="_blank">https://tools.ietf.org/html/rfc5425#section-4.3</a> for a description on what framing is and how it works.<br></div></div></blockquote><div><br></div><div>Thanks Bazsi, appreciate the hint, you put me on the right track.<br><br></div><div>For those that come behind me, the major issue I found was the allowed data in the conf file - there didn't seem to be any documentation at all about what values TCP_Framing could take. Case insensitively the following didn't work: yes, true, on<br><br></div><div>Trial and error/guess work discovered that the correct syntax to get this working is "octet-counted"<br><br>[root@host02 /etc/rsyslog.d]#  cat tcp601.conf<br>*.* action(type="omfwd"<br>queue.type="LinkedList"<br>queue.filename="example_fwd_tcp_601"<br>action.resumeRetryCount="-1"<br>queue.saveonshutdown="on"<br>template="RSYSLOG_SyslogProtocol23Format"<br>target="10.126.19.45" Port="601" Protocol="tcp"<br></div><div>TCP_Framing="octet-counted")<br><br></div><div>Cheers<br></div><div>L.<br> </div></div></div>