Více a více služeb loguje do journald a rsyslog zůstal

[czechsys]

Ahoj,

tak nas po posledni aktualizaci serveru malem vypekl pgbouncer. Zapnuli tam defaultne logovani do journald, coz v kombinaci s rsyslog znamenalo, ze ty logy byly 4x...
1x specificky nastavena cesta v pgbounceru
1x journald
1x /var/log/messages
1x /var/log/syslog

Uzasny. Zatim jsem nouzove doplnil do override.conf:

Kód: [Vybrat]

[Service] #pgbouncer package version
LimitNOFILE=4096 #pgbouncer package version
StandardOutput=null #manual override
StandardError=null #manual override

Vypnout globalne journald se mi nezda jako vhodna cesta. Ale x-nasobneho logovani je smrtici...Vypinat to per sluzba je zase otravne hlidani, kdy to same zacne delat nejaka jina. Presunout kvuli tomu cely /var na samostatny oddil se mi velmi prici (treba z duvod zaloh blokovych disku).

Je nejake elegantnejsi reseni? V tuhle chvili asi muzu tak max volit mezi vypinani v rsyslog nebo v override dane sluzby...

[Reklama]

[Exceptions]

tak obecně na serverech mám v /etc/systemd/journald.conf:

Kód: [Vybrat]

ForwardToSyslog=no
Storage=persistent
Tím mi nekončí věci z journald v /var/log/*, mají vlastní log na disku a retenci, poté je z toho vyčítám do monitoringu. Je to hlavně kvůli tomu, že je jednodušší konfigurace pro jednotlivé služby.

Duplicitní zápis do /var/log/syslog a /var/log/messages je divný, to první je výchozí nastavení pro debian based distribuce, to druhé pro RHEL. Tady to ukazuje na nějakou špatnou konfiguraci někde u pgbounceru nebo syslogu.

Samozřejmě vždy je nutné revidovat nové či výchozí nastavení u instalovaných balíčků a je s tím bohužel vždy dost práce.

[czechsys]

Zkusil jsem ten ForwardToSyslog, to mi odstavilo veskere logovani do /var/log/* (pokud to dana sluzba nema nejak extra reseno). To je sice reseni, jen dost rozsahle, takze bych ho pouzil, kdybych presel kompletne na journald a logoval si extra jen nektere sluzby.

Zkousel jsem i nejake zakladni restrikce na rsyslog strane, tam ale pak zmizi i blby reload sluzby ze syslogu...prekerka.

No budu zatim doufat, ze mi treba postgresql nezacne logovat do journald...

[Exceptions]

v tom případě ukaž jak máš konfigurace jednotlivých částí.

Vlastně nevím, co chceš dělat. Pokud máš journald ve výchozím stavu v CentoOS, tak ti to loguje pouze do ramdisku, přesměrovává vše do syslogu a ten to rozděluje do jednotlivých souborů v /var/log.

Pokud chceš nějakou aplikaci filtrovat z journald, nastavíš jí StandardOutput=null, StandardError=null a tím vypneš systémové logování do journald, syslogu a tím do /var/log.

Pokud chceš nějakou aplikaci odstranit pouze z /var/log/messages a ponechat journald, nastavíš přes tag pravidlo do rsyslogu, aby zahodil logy pro tuhle aplikaci:

Kód: [Vybrat]

# /etc/rsyslog.d/pgbouncer.conf
# $programname je podle názvu aplikace v systemd službě
if $programname == 'pgbouncer' then stop

Zbytek je poté na logování v samotné aplikaci, neznám balíček pgbouncer a nevím jak to má nastavené, to musíš ověřit z dokumentace.

[FKoudelka]

Ahoj,

tak nas po posledni aktualizaci serveru malem vypekl pgbouncer. Zapnuli tam defaultne logovani do journald, coz v kombinaci s rsyslog znamenalo, ze ty logy byly 4x...
1x specificky nastavena cesta v pgbounceru
1x journald
1x /var/log/messages
1x /var/log/syslog

Uzasny. Zatim jsem nouzove doplnil do override.conf:

Kód: [Vybrat]

[Service] #pgbouncer package version
LimitNOFILE=4096 #pgbouncer package version
StandardOutput=null #manual override
StandardError=null #manual override

Vypnout globalne journald se mi nezda jako vhodna cesta. Ale x-nasobneho logovani je smrtici...Vypinat to per sluzba je zase otravne hlidani, kdy to same zacne delat nejaka jina. Presunout kvuli tomu cely /var na samostatny oddil se mi velmi prici (treba z duvod zaloh blokovych disku).

Je nejake elegantnejsi reseni? V tuhle chvili asi muzu tak max volit mezi vypinani v rsyslog nebo v override dane sluzby...

Ahoj
Nemusíš přesunovat celý /var, vytvořit a přimontovat jen /var/log FS vytvořený v samostatném oddílu ti nepomůže ?
Myslím z hlediska místa ve /var
Jinak dvojí logování do messages a jeste do /var/log/syslog bude asi chybkou v konfiguraci syslog, jak psal Tomáš

[Reklama]

[czechsys]

v tom případě ukaž jak máš konfigurace jednotlivých částí.

Vlastně nevím, co chceš dělat. Pokud máš journald ve výchozím stavu v CentoOS, tak ti to loguje pouze do ramdisku, přesměrovává vše do syslogu a ten to rozděluje do jednotlivých souborů v /var/log.

Pokud chceš nějakou aplikaci filtrovat z journald, nastavíš jí StandardOutput=null, StandardError=null a tím vypneš systémové logování do journald, syslogu a tím do /var/log.

Pokud chceš nějakou aplikaci odstranit pouze z /var/log/messages a ponechat journald, nastavíš přes tag pravidlo do rsyslogu, aby zahodil logy pro tuhle aplikaci:

Kód: [Vybrat]

# /etc/rsyslog.d/pgbouncer.conf
# $programname je podle názvu aplikace v systemd službě
if $programname == 'pgbouncer' then stop

Zbytek je poté na logování v samotné aplikaci, neznám balíček pgbouncer a nevím jak to má nastavené, to musíš ověřit z dokumentace.

Debian ma od verze 244 zapnuty persistentni journald (na Deb11 je nyni verze 247).
No  a k tomu ma defaultne nainstalovany i rsyslog:

Kód: [Vybrat]

# /etc/rsyslog.conf configuration file for rsyslog
#
# For more information install rsyslog-doc and see
# /usr/share/doc/rsyslog-doc/html/configuration/index.html


#################
#### MODULES ####
#################

module(load="imuxsock") # provides support for local system logging
module(load="imklog")   # provides kernel logging support
#module(load="immark")  # provides --MARK-- message capability

# provides UDP syslog reception
#module(load="imudp")
#input(type="imudp" port="514")

# provides TCP syslog reception
#module(load="imtcp")
#input(type="imtcp" port="514")


###########################
#### GLOBAL DIRECTIVES ####
###########################

#
# Use traditional timestamp format.
# To enable high precision timestamps, comment out the following line.
#
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

#
# Set the default permissions for all log files.
#
$FileOwner root
$FileGroup adm
$FileCreateMode 0640
$DirCreateMode 0755
$Umask 0022

#
# Where to place spool and state files
#
$WorkDirectory /var/spool/rsyslog

#
# Include all config files in /etc/rsyslog.d/
#
$IncludeConfig /etc/rsyslog.d/*.conf


###############
#### RULES ####
###############

#
# First some standard log files.  Log by facility.
#
auth,authpriv.*                 /var/log/auth.log
*.*;auth,authpriv.none          -/var/log/syslog
#cron.*                         /var/log/cron.log
daemon.*                        -/var/log/daemon.log
kern.*                          -/var/log/kern.log
lpr.*                           -/var/log/lpr.log
mail.*                          -/var/log/mail.log
user.*                          -/var/log/user.log

#
# Logging for the mail system.  Split it up so that
# it is easy to write scripts to parse these files.
#
mail.info                       -/var/log/mail.info
mail.warn                       -/var/log/mail.warn
mail.err                        /var/log/mail.err

#
# Some "catch-all" log files.
#
*.=debug;\
        auth,authpriv.none;\
        mail.none               -/var/log/debug
*.=info;*.=notice;*.=warn;\
        auth,authpriv.none;\
        cron,daemon.none;\
        mail.none               -/var/log/messages

#
# Emergencies are sent to everybody logged in.
#
*.emerg                         :omusrmsg:*

Takze mi "krasne" loguje i maily prosle postfixem do syslogu (vcetne standardniho do mail.log, .warn, .err, .info)...

[czechsys]

Ahoj
Nemusíš přesunovat celý /var, vytvořit a přimontovat jen /var/log FS vytvořený v samostatném oddílu ti nepomůže ?
Myslím z hlediska místa ve /var
Jinak dvojí logování do messages a jeste do /var/log/syslog bude asi chybkou v konfiguraci syslog, jak psal Tomáš

To se mi snad dodnes nevyplatilo nikdy delat, ty logy maji stovky MB az desitky GB, a oddelit to na samostatne oddily by znamenalo administrativni zatez, nemluve o vetsich narocich na kapacitu diskovych poli (rezervace mista, hladiny monitoringu apod). Takze to oddeluji jen pro urcite aplikace (vetsinou sdili datovy disk pro tu aplikaci).

[r37]

Nemám v úmyslu vyprovokovat flame, nicméně:
Na žádném stroji nemáme distribuci, která vnucuje systemd jako defaultní init, takže
- nás obdobné problémy míjejí
- a je zjevné, že služby se bez journald obecně zcela dobře obejdou.
Nešlo by tedy tenhle problém vyřešit zásadně tím, že se prostě journald zcela vyřadí (nevím tedy, jestli to se systemd jde – ovšem toho se lze taky zbavit, že...)