PARCIAL — receptor DEV probado de extremo a extremo con mensaje Cisco sintético, index=netops sourcetype=cisco:ios source=sc4s. No es tráfico real de .4. El propietario pidió no confiar/acceder al switch y preparar comandos. Pendiente que añada .81 como segundo destino sin retirar .30.

Cisco IOS → SC4S DEV (pendiente de ejecutar por propietario)¶

No se ha aceptado la clave SSH del switch ni intentado autenticación: el propietario indicó preparar comandos.

Antes, guardar estas salidas localmente:

show logging
show running-config | include ^logging
show running-config | include ^service timestamps

Confirmar que existe el destino LEGACY .30 y que DEV .81 no está ya añadido. Añadir solo el destino, sin cambiar severidad, facility, filtros, timestamps, interfaces, AAA, SNMP ni firewall:

configure terminal
logging 192.168.0.81
end
show logging

Mantener el destino 192.168.0.30. UDP514 es el puerto syslog habitual por defecto. Las líneas Cisco con %FACILITY-SEVERITY-MNEMONIC las reconoce el parser nativo SC4S: índice netops y sourcetype cisco:ios; el índice network de la ruta legacy no se copia como requisito.

Tras comprobar recepción real de .4 en DEV y continuidad en LEGACY, persistir:

copy running-config startup-config

Rollback, solo si .81 fue el destino nuevo introducido aquí:

configure terminal
no logging 192.168.0.81
end
show logging

Si el cambio ya se guardó, guardar también el rollback. No ejecutar no logging on, no logging trap ni retirar .30.

Fuentes oficiales: https://splunk.github.io/splunk-connect-for-syslog/3.14.1/sources/vendor/Cisco/cisco_ios/ ; manual IOS12.2 enlazado desde esa página. La versión IOS exacta del3750 todavía no se ha leído: validar ayuda logging ? si difiere la sintaxis.