RFC 3164(和訳) 41.3.～4.2

----------
4.1.3 MSG part of a syslog Packet

MSG部分には補足情報などを入れます。原則、Visible characterを使います。(補足：要はCaptureしたPacketの状態で、文字として理解できるもののことを言っていると思われ、テキスト型で出てくれば何の問題もない。)

MSG部分はTAGフィールドとCONTENTフィールドから構成されます。TAGフィールドにはSyslogを送出したProgramやProcessを入れます。CONTENT部分ではそのイベントの詳細を記しますが、フォーマットに決まりはありません。
TAGフィールドの中身はABNF英数字で32文字以下とします。英数字以外の文字が入った場合、その部分からCONTENTフィールドとみなされます。
CONTENTフィールドの最初は"["とか"："とかスペースなどから始める場合が多いです。

4.2 Original syslog Packets Generated by a Device
Syslogを送出する筐体に必要な条件、というのはありません。UDPポート514宛てのパケットはちゃんとSyslog Messageとみなされます。
Syslogは前述のような構成になっているのが推奨であり、開発者は以下のことに留意してください。

もし、OriginalがHEADER部分にTIMESTAMPを持っている場合、deviceが属するTimezoneでのLocaltimeとなっているべきでしょう。

もし、OriginalにHOSTNAMEフィールドがあったら、そのdeviceだとわかるhostnameをいれましょう。HostnameをつけてなかったらIPアドレスが入るようにしましょう。

もしTAGフィールドを使う場合は、Syslogを送出する原因になっているProgramやProcessを入れましょう。
----------