2

Os cuento el escenario. Tenemos electrónica de red, envío los logs a un equipo en particular (Debian 8). Aún con la rotación configurada, empezamos a tener problemas de espacio en este equipo, por lo que montamos un segundo nodo (también Debian 8).

En el nodo 1 mapeamos una carpeta del segundo, /logs, y en el fichero "/etc/syslog-ng/syslog-ng.conf" configuramos que todos los logs de la electrónica de red, fueran a parar a ese directorio del nodo 2.

Los logs están llegando bien a este segundo nodo, el problema que tenemos es que el nodo 1 envía una cantidad ingente de espacios al fichero. Hoy mismo lo he mirado, el fichero ha rotado a las 6 de la mañana y ya ocupaba 123 MB, cuando entras a él, el 99% del fichero son espacios, el 1% restante son los logs de los equipos.

En el nodo 1, el que recibe todos los logs por syslog de la electrónica de red, el fichero /etc/syslog-ng/syslog-ng.conf está configurado de la siguiente manera:

filter f_local0 { 
    facility(local0) and not filter(f_debug);
};
log { 
    source(s_net); 
    filter(f_local); 
    destination(d_net); 
};
destination d_net { 
    file("/sondalogs/logscisco/cisco.txt"); 
};

Si haces un df -h en este equipo se puede ver el mapeo al nodo 2:
10.3.220.220:/logs 538G 48G 462G 10% /sondalogs

Estamos un poco perdidos sobre la causa del problema, ¿Formato de los logs?.

6
  • 1
    Hola Fran. Bienvenido. Has de poner algo de código que tengas que utilices para tratar esos logs y poder orientarnos un poco. Asi no está muy claro o es demasiado amplio. y que significa "Si abres el fichero con vi" ?
    – lois6b
    Commented el 16 nov. 2016 a las 11:08
  • Gracias @lois6b ;)
    – FranDC
    Commented el 16 nov. 2016 a las 11:17
  • No añadas informacion relevante en los comentarios, has de editar tu pregunta.
    – lois6b
    Commented el 16 nov. 2016 a las 11:20
  • ¿ Cuando los logs estaban en 1 solo equipo, estaba el mismo problema ? es decir, si quitas el mapeo de la unidad de red, ocurre lo mismo ?
    – Trauma
    Commented el 16 nov. 2016 a las 11:22
  • No @Trauma, cuando los logs llegaban directamente al nodo 1 no ocurría.
    – FranDC
    Commented el 16 nov. 2016 a las 11:24

1 respuesta 1

2

Los síntomas que describes parecen indicar que el archivo de logs permanece abierto por syslog-ng después de haber sido rotado. Aunque el proceso de rotación mueva el contenido a otro archivo y trate de truncar el original, si el archivo sigue abierto syslog-ng seguirá escribiendo en la posición en la que le corresponde (de ahí el espacio vacío que ves al principio del archivo).

Debes hacer un reload de syslog-ng al final del proceso de rotación. Si estás rotando desde el nodo 2, debes trasladar la rotación al nodo 1.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.