核心是选对驱动、配准参数、打通链路：syslog/fluentd/loki支持远程同步，json-file/journald/none不适用；syslog需完整配置syslog-address、facility、tag、env等参数，并验证抓包、容器inspect及目标端日志接收。
直接用 Logging Driver 实现实时远程同步，核心是选对驱动、配准参数、打通链路。不是只要加个 --log-driver=syslog 就能进 SIEM，中间漏掉关键配置，日志大概率静默丢弃。
必须选支持远程传输的驱动
-
syslog：最成熟，原生适配 UDP/TCP/TLS，适合等保上报和传统日志平台 -
fluentd：云原生首选，支持 HTTP/Forward 协议，可注入结构化字段（如trace_id,env） -
loki（Docker 24.0+ 原生支持）：轻量级，按 labels 索引，天然契合 Prometheus 生态 - ❌
json-file和journald不走网络，无法直连远程中心；none驱动则彻底无日志
关键参数一个都不能少
以 syslog 为例，缺任一参数都可能让日志“发出去但收不到”：
-
--log-opt syslog-address=udp://192.168.1.100:514：地址必须带协议、IP、端口，UDP 默认不重传，生产建议改tcp://或启用 TLS -
--log-opt syslog-facility=local6：指定 facility，方便接收端做路由与权限隔离 -
--log-opt tag="{{.Name}}|{{.ImageName}}|{{.ID}}"：注入容器元数据，避免日志进来只剩 raw message，查无可查 -
--log-opt env=TRACE_ID,USER_ID,ENV：把应用透传的上下文变量带进日志，实现操作主体可追溯
验证是否真同步成功
别只信 docker run 命令执行成功：
- 在目标服务器抓包确认：
tcpdump -i any port 514 -A | grep "myapp"（syslog 场景） - 查 fluentd pod 日志：
kubectl logs -n logging fluentd-xxxx | grep -i "send to loki" - 检查容器实际生效配置：
docker inspect myapp --format='{{.HostConfig.LogConfig}}'，确认SyslogAddress和Tag已写入
权限与安全加固不能跳过
- 远程地址若走 TLS，需挂载证书：
--log-opt syslog-tls-ca-cert=/certs/ca.pem --log-opt syslog-tls-cert=/certs/client.pem - 禁用明文传输：避免
syslog-address=udp://直连公网；内网也建议启用syslog-tcp+ 防火墙白名单 - 容器启动时加审计标签：
--label io.docker.audit.user="devops-team"，该 label 会进入日志attrs字段，供 SIEM 提取归属
基本上就这些。
