Dotaz: syslog-ng sber nesystemovych logu z desitek serveru

[kuja]

Resim momentalne problem se syslog-ng. Mam jeden centralni server, na ktery potrebuju hrnout neco kolem 300 prevazne aplikacnich logu z nekolika desitek serveru( na serveru je vice typu logu). No a momentalne sem zkoncil na identifikaci jednotlivych logu. Momentalne to mam na local facility, ale tech je jenom 15 a to je momentalne uz malo. Dekuji za odpoved.

Odpovědi

[oron]

syslog-ng robi na zaklade reg. vyrazov, neslo by to tak ze log by sa indentifikoval cez:
server-aplikacia-hlasenie
server-aplikacia2-hlasenie

co predpoklada ze aplikacia sa bude nejako identifikovat ked bude zapisovat do logu ...

[kuja]

No tak by to urcite slo, spis je problem v identifikaci uz na strane zdroje, logy maji pevnou strukturu. Pripadne, jestli mate nejaky konretnejsi priklad, nejak si to neumim dost dobre predstavit. Dekuji.

[frEon]

pokud maji logy pevnou strikturu, muzes si udelat regularni vyraz, pomoci ktereho identifikujes nejaky konkretni typ logove hlasky. Pak si udelej filter, kde je tim regexpem najdes a v log {} posles do spravneho mista urceni...

[kuja]

No ,takhle by to slo, kdyby se uvnitr logu dal ten samotny log nejak identifikovat, coz nejde, protoze on ma pevnou strukturu jenom diky log4j, a nicim jinym se identifikovat neda (ma akorat standardizovany timestamp)

[oron]

hmm ... a ked potom prechadzas log ako vies ktora hlaska je od ktorej aplikacie ked sa to neda rozlisit ?

[kuja]

No na zdrojovych serverech prave jenom podle nazvu log souboru. No a ja bych prave potreboval, aby se vytvorila kopie zdrojoveho logu na centralni log server.

[oron]

tak potom asi len ako ti pisal hore, najst podla coho sa tie logy lisia a potom reg. vyraz ktoremu bude zopdpovedat ten vyraz. ine ma nenapada ...

[Zdeněk Burda]

Centrální syslog-ng mi zapisuje data do adresářové struktury /logs/servername/rok/mesic/den/ a soubory pojmenovává dle facility (lze ještě podle priorit, ale to nepoužívám). Není to náhodou možné řešení i pro tebe?

destination d_net{ 
        file(
                "/logs/$HOST/$YEAR/$MONTH/$DAY/$FACILITY"
                perm(0640)
                dir_perm(0750)
                create_dirs(yes)
                template("$ISODATE <$FACILITY.$PRIORITY> $HOST $MSG\n")
                template_escape(no)
        );
}

Adresáře si syslog-ng vytváří podle potřeby sám. Automarická rotace logů je řešena v rámci syslog-ng přestupem do nového adresáře, staré logy jednou za den proháním gzipem:

/usr/bin/find /logs -type f -mtime +1 -not -name '*.gz' -exec gzip {} \;

[frEon]

pokud na zdrojovem serveru je kazdy log v zvlastnim souboru, muzes nadefinovat source tak, aby ho syslog-ng cetl, pred kazdou radku doplnil string s jednoznacnym identifikatorem pomoci log_prefix() a pak v log {} poslat pres sit na cil, kde uz to muzes rozeznat podle toho identifikatoru.