Dotaz: Linux - obecně - velikost logů, rotace

[Petr]

Dobrý den. Prosím, potřeboval bych poradit a přiučit se od zkušených správců, jak správně nastavit logování v systému Linux. Vadí mi, že logy nabírají na velikosti a logují i funkční stav. Já bych chtěl logovat jen chyby.

Informační logy typu že je vše OK mě více méně nezajímají. Mluvím teď o /var/log/messages, /var/log/dmesg, /var/log/boot.log, /var/log/cron. Chtěl bych aby se logovaly jenom chyby nebo že něco vykázalo "nestandartní" stav.

Dále bych potřeboval umět nastavit pevnou maximální velikost logů ve /var/log/. Prostě každý log aby třeba nepřekročil víc než 5MB. Pokud by k tomuto stavu došlo, tak aby se původní log odeslal emailem na adresu správce a v případě správného odeslání aby se ze serveru smazal a založil log nový s nulovou velikostí.

Lze toto nastavit ? Jak to řešíte např. vy ? Jak hlídáte velikost logů aby třeba nedošlo k zaplnění volného místa na disku ? Průběžné kontroly jsou pro mě z časového hlediska nemožné, proto bych se vždy o případném problému potřeboval dozvědět nejlépe emailem, na který už bych si na svém poštovním serveru nastavil filtr.

Prosím, pomohl by mi někdo najít cestu a případně vysvětlil jak na to ? Něco ve smyslu "Správné zásady a postupy jsou... " ?

Děkuji a přeji pěkný víkend.
Petr

Odpovědi

[Petr Šobáň]

V logrotate si nastavíš co potřebuješ (/etc/logrotate.d) takže logy zaberou pouze určitou velikost - takže nemůžou narůst do neuměrných rozsahů.

A to co se bude logovat nastavíš v těch programech které do logu zapisují.

A logwatch zase potom posílá mailem takový výcuc kde na to mrkneš a hned víš kolik chyb kolik OK atd a když uvidíš něco podezřelého můžeš to skontrolovat přímo v tom logu.

[x]

Jak se v logrotate nastavuje, aby logy nepřekročily určitou velikost? Logrotate přece rotuje až někdy, kdy je nastaveno. A mezitím než nastane ten okamžik, může vzrůst velikost logů nade všechny meze.

Já používám socklog a tam to nastavit opravdu jde. Nicméně to tazateli nedoporučuji jako řešení, protože je to poněkud nestandardní, i když třeba v Debianu není problém si socklog nainstalovat.

[Petr Šobáň]

size size
Log files are rotated only if they grow bigger then size bytes. If size is followed by k, the size is assumed to be in kilobytes. If the M is used, the size is in megabytes, and if G is used, the size is in gigabytes. So size 100, size 100k, size 100M and size 100G are all valid.

man logrotate

Samozřejmě velikost souboru se kontroluje pouze jak se logrotate spustí - takže prostě vždy třeba nějaký kompromis mezi spouštěním logrotate a velikostí bude - ale pro to aby to nenarostlo do neuměrných rozsahů to podle mě stačí. Prostě otočí se log jak překročí velokost a kolik těch rotací - souborů má na hdd zůstat nastavím pomocí "rotate číslo" tím vlastně určíte komplet max velokost toho logu samozřejmě není to přesné záleží na dalších parametrech atd..., ale pro hrubé nastavení abych neměl na hdd samé logy to stačí...(samozřejmě ještě s parametrem kdy se má log točit)

Pochybuji že to jiný program bude dělat v reálném čase a podle mě je to zbytečné jestli soubor mezi rotací naroste o 1M mě už nezachrání....

[x]

Socklog si nastavím tak, aby velikost jednoho logovacího souboru byla max něco a dále nastavím maximální počet logovacích souborů. A tím je to vyřešené. Dál si to socklog hlídá sám a nejstarší soubory podle potřeby maže.

[Petr]

No, já používám CentOS a tak bych se chtěl držet standartních postupů...

[NN]

Vychozi nastaveni systemovych logu a logovani pomoci logrotated je v drtive vetsi naprosto dostacujici.. U nekterych sluzeb se hodi vice informaci, u nekterych mene, mimochodem pro reseni problemu je vhodne logovat i dobre stavy. Rotace zaruci, ze logy nepretecou.

Jedinou vyjimku tvori RO systemy, kde je potreba udelat nejake upravy a custom logovani do syslogu. Pokud se nepletu, tak ani jedno neni tvuj pripad, takze podle meho nazoru resis zbytecnost a zadelavas si akorat na problemy.

[Petr Šobáň]

Přesně nech to pro začátek na default nastaveních a uvidíš do jakých rozměrů to naroste podle provozu a pod....

Jedině si nainstaluj ten logwatch aby ti posílal výcuc z logů a nemusel jsi s tím mít takovou práci při procházení zda je vše OK.

[lertimir]

Jen doplnění pro tazatele. Důležitost logování dobrých stavů poznáš ve chvíli, kdy ti nějaká služba natvrdo spadne a nevypíše nic. Pokud loguješ jen chyby, tak se o stavu, o chvíli, kdy k pádu došlo nedovíš, protože neexistující služba bude logovat stejné nic jako správně běžící služba. Pokud ti služby hlásí i správné stavy tak lze najít, kdy služba spadla, co pádu předcházelo, kdy by ještě aktivní a kdy už ne.

Vzhledem k současné velikosti diskových prostorů a tomu, že všechny záznamy jsou jednoduché textové řádky a správnému nastavení logrotate logovací záznamy nepředstavují diskovou zátěž. Navíc pokud máš obavu, že náhle něco začne do logu psát, tak tě vyhození správných stavu stejně nezachrání, protože to je obvykle chybová situace a v ní se počet záznamů v logu za jednotku času může zvýšit o několik řádů a ty bys tam měl stejně.

[Andrej]

První krok by měl být přechod na systemd. Pak je správa logů o poznání snazší.