LogWatch: теория и практика использования

[Ethril]

А как фильтровать сообщения в Syslog по полю Severity?
Пытался, по аналогии с парсингом EventLog'а, использовать строчку <level>1</level> - не работает... и слово level, в отличие от, например, match или rule, не подсвечивается как ключевое.

[victor]

В текущей версии фильтровать по severity в syslog'e нельзя. Добавлю в следующей версии (добавил в bugtracker под номером 263).

[oleg]

Спасибо!

[Ethril]

Возвращаясь к вопросу, как фильтровать Syslog по полю Severity... Вроде как эта возможность добавлена в 0.2.29.
События у меня в Syslog-е появляются с типами Informational, Notice, Warning.
Пишу в парсере <level>7</level> (пробовал и другие цифры), но не реагирует ни на что. Если убрать эту строчку, начинает реагировать на все события. Как-то по-другому надо фильтр задавать?

[victor]

Dlja sysloga znavhenija severity sledujuschie:

1  Emergency
2  Alert
4  Critical
8  Error
16 Warning
32 Notice
64 Informational
128 Debug

T.e. dlja fil'tracii informational, notice, and warning nado pisat' <level>112</level>

[victor]

Vilozil obnovlennij User Manual, tam dobavleno opisanie monitoringa sysloga.

[Ethril]

Похоже, всё работает как надо. Спасибо.

[Ethril]

А как сделать, чтобы ловились события со статусом Critical, кроме событий с определённым id/Source?
Пытался сделать такой парсер:

<parser>
	<file>*System</file>
	<rules>
		<rule>
			<source>TermServDevices</source>
			<id>1111</id>
		</rule>
		<rule>
			<level>1</level>
			<match>(.*)</match>
			<event params="1">100012</event>
		</rule>
	</rules>
</parser>

Вроде как оно должно пропускать события с id 1111 и source TermServDevices, но они всё же попадают в обработку.

[gmaxzz]

Здравствуйте! Давненько этот топик не обновлялся, однако... Собственно, вопрос. Можно ли в параметрах event'а каким-то образом передать имя наблюдаемого файла? Чтобы в сообщении события я мог указать, с какого файла это событие пришло...

[victor]

В текущей версии этого сделать нельзя. Я попробую реализовать это в каком-то виде в следующей версии.