syslog転送で送信元IPアドレスを変更することは可能でしょうか？

Question

実現したいこと

syslog転送ではホストのIPアドレスで送信先のPCにログ転送を行いますが、
ホストのIPアドレスではなく、NICに割り当てたIPアドレスでログ転送(通信)を
行いたいです。

前提

送信元のrsyslog.conf
(snip)
action(type="omfwd" Target="192.168.28.2" Port="514" Protocol="tcp")

ens193に割り当てられているIPアドレス(192.168.201.236/24)でログ転送を行いたいです。
「ip a | grep ens193」コマンドの実行結果
4: ens193: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
inet 192.168.201.233/24 brd 192.168.201.255 scope global noprefixroute ens193
inet 192.168.201.236/24 brd 192.168.201.255 scope global secondary ens193

送信先(192.168.28.2)のrsyslog.conf
(snip)
module(load="imtcp") # needs to be done just once
input(type="imtcp" port="514")
$AllowedSender TCP, 127.0.0.1, 192.168.201.236/24

調べても送信元IPアドレスを変更する方法は見つかりませんでした。
近いものとして、以下のURL先のようにsyslog送信時の送信元アドレスを指定できればいいなと思います。
https://www.furukawa.co.jp/fitelnet/f/man/100/command-config/global_config/syslog_source-interface.htm

Answer 1

UDP であれば Address で送信元IPアドレスを指定できます。

omfwd: syslog Forwarding Output Module

TCP では Address は設定できません。
代替方法として、OS 側でルーティングを設定する方法が考えられます。

# ip route add 192.168.28.2 dev ens193 src 192.168.201.236

ただし、192.168.28.2 宛のすべての IP 通信について、送信元IPアドレスが変わってしまいます。

---

(2023/08/15 21:35) 追記

192.168.28.2/24, 192.168.201.236/24 は別セグメントでしたね。
via で 192.168.28.0/24 へのゲートウェイ(おそらくデフォルトゲートウェイ)を指定します。
デフォルトゲートウェイは ip route list でわかると思います。

# ip route add 192.168.28.2 via (デフォルトゲートウェイのIP) dev ens193 src 192.168.201.236

Comments

[fdorike]

回答ありがとうございます。
Address で送信元IPアドレスを指定する方法と、OS 側でルーティングを設定する方法を試しました。しかし、ログ転送ができなくなりました。送信元IPアドレスを変更すると、ログ転送ができなくなるようです。

以下はOS 側でルーティングを設定する方法を実施した後です。
試したことは192.168.28.2側のFWをstopしました。
また、送信先(192.168.28.2)のrsyslog.confのAllowedSenderの設定を無効にしました。
(snip)
module(load="imtcp") # needs to be done just once
input(type="imtcp" port="514")
#$AllowedSender TCP, 127.0.0.1, 192.168.201.236/24

FWをstopしてもログ転送が行われませんでした。
「ip route del 192.168.28.2 dev ens193 src 192.168.201.236」を実行すると以下のログを出力した後、ログが転送されるようになりました。このような事象について何か知見などございますでしょうか？
<syslog.err> rsyslogd[273040]: omfwd: remote server at 192.168.28.2:514 seems to have closed connection. This often happens when the remote peer (or an interim system like a load balancer or firewall) shuts down or aborts a connection. Rsyslog will re-open the connection if configured to do so (we saw a generic IO Error, which usually goes along with that behaviour). [v8.2102.0-13.el8 try https://www.rsyslog.com/e/2027 ]
<syslog.warning> rsyslogd[273040]: action 'action-7-builtin:omfwd' suspended (module 'builtin:omfwd'), retry 0. There should be messages before this one giving the reason for suspension. [v8.2102.0-13.el8 try https://www.rsyslog.com/e/2007 ]
<syslog.info> rsyslogd[273040]: action 'action-7-builtin:omfwd' resumed (module 'builtin:omfwd') [v8.2102.0-13.el8 try https://www.rsyslog.com/e/2359 ]

[fdorike]

ありがとうございます。
ホストのIPアドレスではなく、Ethernetに付与したIPアドレスでrsyslogとコネクションを確立することができました。