LogWatch: теория и практика использования

[victor]

@ethril said in LogWatch: теория и практика использования:

P.S. И ещё вопросик вдогонку: не планируется ли доработать в будущем модуль для update/deploy клиентов, чтобы заодно распространять на них файлики с парсерами? Чтобы не копировать ручками .xml-файлик на 20 серверов.

Планируется - будет возможность централизованно распространять конфиги, скрипты, и т.д.

[Ethril]

Поменял * на (.*) - всё работает. Спасибо.

[nikosb]

Hi There

It would be great, if the information regarding LogWatch and Windows Event Log monitoring would be available in english too!

Any chance?

Thanks a lot!

[Anth0ny]

Проблема, не проблема...
Решил написать:

Win2008 - x86, NXMS 0.2.26.1

Подключил в Агенте LogWatch. И теперь лог буквально усыпан сообщениями:

LogWatch: Unable to read event log "Application": The event log file has changed between read operations.

Как с этим бороться?

[victor]

Ja vilozil obnovlennij logwatch dlja testov - https://www.netxms.org/forum/index.php/topic,670.0.html. Teper' dolzen korrektno rabotat' na 2008.

[Anth0ny]

премного благодарен, буду посмотреть ASAP...

[oleg]

Добрый день!
Такой вопрос.
А как можно парсить логи имя которых не постоянно, а типа log090810.log? На следующий день соответственно log090811.log.

[Anth0ny]

мм.... может быть использовать шаблон типа log%date%.log ?
правда указанный тобой формат потребует предварительной обработки...

[victor]

@oleg said in LogWatch: теория и практика использования:

Добрый день!
Такой вопрос.
А как можно парсить логи имя которых не постоянно, а типа log090810.log? На следующий день соответственно log090811.log.

В имени файла можно использовать макросы:

%a Abbreviated weekday name
%A Full weekday name
%b Abbreviated month name
%B Full month name
%c Date and time representation
%d Day of the month (01-31)
%H Hour in 24h format (00-23)
%I Hour in 12h format (01-12)
%j Day of the year (001-366)
%m Month as a decimal number (01-12)
%M Minute (00-59)
%p AM or PM designation
%S Second (00-61)
%U Week number with the first Sunday as the first day of week one (00-53)
%w Weekday as a decimal number with Sunday as 0 (0-6)
%W Week number with the first Monday as the first day of week one (00-53)
%x Date representation
%X Time representation
%y Year, last two digits (00-99)
%Y Year
%Z Timezone name or abbreviation
%% A % sign

В нашем случае это будет log%y%m%d.log

[Ethril]

А как фильтровать сообщения в Syslog по полю Severity?
Пытался, по аналогии с парсингом EventLog'а, использовать строчку <level>1</level> - не работает... и слово level, в отличие от, например, match или rule, не подсвечивается как ключевое.

[victor]

В текущей версии фильтровать по severity в syslog'e нельзя. Добавлю в следующей версии (добавил в bugtracker под номером 263).

[oleg]

Спасибо!

[Ethril]

Возвращаясь к вопросу, как фильтровать Syslog по полю Severity... Вроде как эта возможность добавлена в 0.2.29.
События у меня в Syslog-е появляются с типами Informational, Notice, Warning.
Пишу в парсере <level>7</level> (пробовал и другие цифры), но не реагирует ни на что. Если убрать эту строчку, начинает реагировать на все события. Как-то по-другому надо фильтр задавать?

[victor]

Dlja sysloga znavhenija severity sledujuschie:

1  Emergency
2  Alert
4  Critical
8  Error
16 Warning
32 Notice
64 Informational
128 Debug

T.e. dlja fil'tracii informational, notice, and warning nado pisat' <level>112</level>

[victor]

Vilozil obnovlennij User Manual, tam dobavleno opisanie monitoringa sysloga.

[Ethril]

Похоже, всё работает как надо. Спасибо.

[Ethril]

А как сделать, чтобы ловились события со статусом Critical, кроме событий с определённым id/Source?
Пытался сделать такой парсер:

<parser>
	<file>*System</file>
	<rules>
		<rule>
			<source>TermServDevices</source>
			<id>1111</id>
		</rule>
		<rule>
			<level>1</level>
			<match>(.*)</match>
			<event params="1">100012</event>
		</rule>
	</rules>
</parser>

Вроде как оно должно пропускать события с id 1111 и source TermServDevices, но они всё же попадают в обработку.

[gmaxzz]

Здравствуйте! Давненько этот топик не обновлялся, однако... Собственно, вопрос. Можно ли в параметрах event'а каким-то образом передать имя наблюдаемого файла? Чтобы в сообщении события я мог указать, с какого файла это событие пришло...

[victor]

В текущей версии этого сделать нельзя. Я попробую реализовать это в каком-то виде в следующей версии.