zabbix4.0学习六：Zabbix监控日志

ゝ一世哀愁。 2022-03-18 03:28 880阅读 0赞

## zabbix4.0学习六：Zabbix监控日志 ##

# 前言 #

我们希望监控日志，在日志出现特定标识或字符串时打印出日志，并邮件通知我们，以便我们手动处理。（当然使用动作可自动处理）。  
zabbix能收集指定文件里的信息并展示出来。

# 原理 #

原理也很简单，`zabbix-agent就是搜索指定文本文件里内容，通过正则表达式匹配关键字，如果匹配成功，则把该行信息主动发送给zabbix-server。`由些延伸出一些条件或者是限制。

1.  怎样保证搜索的是变化的文件内容而不是老数据  
    Zabbix Server和Zabbix Agent会追踪日志文件的大小和最后修改时间，并且分别记录在字节计数器和最新的时间计数器中，字节计数器和最新时间计数器的数据会被记录在Zabbix数据库，并且发送给Agent，这样能够保证Agent从上次停止的地方开始读取日志。
2.  监控哪些日志  
    有单一的指定文件路径或者以正则表达式匹配路径方式，所有符合配置的文件，都会被监控。
3.  检查周期  
    到每个Update interval的时间时，Agent会检查一次目录下的文件。
4.  每秒传输最大行数  
    Zabbix Agent每秒发送日志量，有一个日志行数上限，防止网络和CPU负载过高，这个数字在zabbix\_agentd.conf中的MaxLinePerSecond。
5.  特殊情况  
    当日志文件大小小于字节计数器中的数字时，字节计数器会变为0，从头开始读取文件

最核心的概念就是zabbix会不停的处理变更的日志文件并发送到zabbix-server服务器时。

# 例子：监控tomcat日志 #

参考官网[日志文件监控][Link 1],`重要`。  
目的：监控tomcat日志并收集带有8080字样的行信息  
环境：  
两台机器

<table> 
 <thead> 
  <tr> 
   <th>名称</th> 
   <th>ip</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>zabbix-server</td> 
   <td>192.168.2.33</td> 
   <td>zabbix服务器端</td> 
  </tr> 
  <tr> 
   <td>zabbix-agent</td> 
   <td>192.168.1.239</td> 
   <td>zabbix客户端</td> 
  </tr> 
 </tbody> 
</table>

## zabbix-agent ##

默认情况下，zabbix-agent主动和被动模式都开启的，如果没特定修改过，这里不用修改，除了ServerActive指向zabbix-server的ip外。

## 测试权限 ##

必需测试zabbix对日志是否有读取权限，使用sudo命令切换身份执行命令。

sudo -u zabbix  cat /usr/local/tomcat/apache-tomcat-8.5.37/logs/catalina.out

如果能打印出来则表示有权限读取

## 配置监控项 ##

找到主机192.168.1.239并添加监控项.  
名称：随机  
类型：zabbix客户端（主动式）  
键值：log\[/usr/local/tomcat/apache-tomcat-8.5.37/logs/catalina.out,8080,\]  
信息类型：日志  
其它都默认即可  
完整效果如下图：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FjaGVueXVhbg_size_16_color_FFFFFF_t_70]

## 测试 ##

上面的配置是指定了/usr/local/tomcat/apache-tomcat-8.5.37/logs/catalina.out日志，并搜索带有8080字符串的行信息。  
上面我说过，当日志文件大小小于字节计数器中的数字时，字节计数器会变为0，从头开始读取文件，catalina.out被覆盖为新输出日志时，表示它有了更新，zabbix-agent会从头开始读取文件。  
故，重启tomcat，查看监测中\->最新数据，输出如下

时间戳	当地时间	ֵ值
    2019-02-19 09:37:03		
    19-Feb-2019 09:37:02.699 信息 [main] org.apache.coyote.AbstractProtocol.start Starting ProtocolHandler ["http-nio-8080"]
    2019-02-19 09:37:03		
    19-Feb-2019 09:37:00.574 信息 [main] org.apache.coyote.AbstractProtocol.init Initializing ProtocolHandler ["http-nio-8080"]
    2019-02-19 09:37:03		
    19-Feb-2019 09:36:55.632 信息 [main] org.apache.coyote.AbstractProtocol.destroy Destroying ProtocolHandler ["http-nio-8080"]
    2019-02-19 09:37:03		
    19-Feb-2019 09:36:55.627 信息 [main] org.apache.coyote.AbstractProtocol.stop Stopping ProtocolHandler ["http-nio-8080"]
    2019-02-19 09:37:03		
    19-Feb-2019 09:36:55.521 信息 [main] org.apache.coyote.AbstractProtocol.pause Pausing ProtocolHandler ["http-nio-8080"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:40.044 信息 [main] org.apache.coyote.AbstractProtocol.start Starting ProtocolHandler ["ajp-nio-8009"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:40.012 信息 [main] org.apache.coyote.AbstractProtocol.start Starting ProtocolHandler ["http-nio-8080"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:37.847 信息 [main] org.apache.coyote.AbstractProtocol.init Initializing ProtocolHandler ["ajp-nio-8009"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:37.771 信息 [main] org.apache.coyote.AbstractProtocol.init Initializing ProtocolHandler ["http-nio-8080"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:32.744 信息 [main] org.apache.coyote.AbstractProtocol.destroy Destroying ProtocolHandler ["ajp-nio-8009"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:32.743 信息 [main] org.apache.coyote.AbstractProtocol.destroy Destroying ProtocolHandler ["http-nio-8080"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:32.739 信息 [main] org.apache.coyote.AbstractProtocol.stop Stopping ProtocolHandler ["ajp-nio-8009"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:32.735 信息 [main] org.apache.coyote.AbstractProtocol.stop Stopping ProtocolHandler ["http-nio-8080"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:32.629 信息 [main] org.apache.coyote.AbstractProtocol.pause Pausing ProtocolHandler ["ajp-nio-8009"]
    2019-02-19 09:00:42		
    19-Feb-2019 09:00:32.605 信息 [main] org.apache.coyote.AbstractProtocol.pause Pausing ProtocolHandler ["http-nio-8080"]

## 总结 ##

整个过程来看，指定了日志文件，使用正则表达式定义了需要匹配的关键字，zabbix即会从最新变化的日志里搜索出我们想要的行日志。其实说白了，就是对文件的处理，搜索类似文本的查找概念。

# 监控项介绍 #

zabbix有5个默认的日志监控项。  
eventlog,log,log.count,logrt,logrt.count，其中eventlog只能在windows上使用。  
参考[Zabbix客户端-支持的监控项key][Zabbix_-_key]

## log ##

语法：log\[file,,,,,,\]  
返回：被匹配的日志行  
file:日志文件完整路径和名称  
regexp:需要搜索的关键字符串或表达式  
mode：all (默认值), skip - 跳过处理历史的数据（仅影响新创建的监控项）。  
其它基本不用修改，可参考官网理解

## log.count ##

语法：log.count\[file,,,,,\]  
返回：被匹配的日志行数，整型  
file:日志文件完整路径和名称  
regexp:需要搜索的关键字符串或表达式  
mode：all (默认值), skip - 跳过处理历史的数据（仅影响新创建的监控项）。  
其它基本不用修改，可参考官网理解

## logrt ##

logrt中，r是regexp，t是options  
语法：logrt\[file\_regexp,,,,,,\]  
功能：支持监控轮询的日志文件。日志轮询是基于文件的最后修改时间。  
返回：被匹配的日志行  
file\_regexp：文件名的正则表达式，例如"/home/zabbix/logs/^logfile\[0-9\]\{1,3\}$"，匹配logfile1,logfile12,logfile123  
regexp:需要搜索的关键字符串或表达式  
mode：all (默认值), skip - 跳过处理历史的数据（仅影响新创建的监控项）。  
其它基本不用修改，可参考官网理解

## logrt.count ##

语法：logrt.count\[file\_regexp,,,,,\]  
功能：支持对循环日志文件监控中匹配的行数。  
返回：返回：被匹配的日志行数，整型  
file\_regexp：文件名的正则表达式，例如"/home/zabbix/logs/^logfile\[0-9\]\{1,3\}$"，匹配logfile1,logfile12,logfile123  
regexp:需要搜索的关键字符串或表达式  
mode：all (默认值), skip - 跳过处理历史的数据（仅影响新创建的监控项）。  
其它基本不用修改，可参考官网理解

## eventlog ##

语法：eventlog\[name,,,,,,\]  
功能：windows事件日志监控。  
打开方式：1. 控制面板->所有控制面板项->管理工具->事件查看器->windows日志查看事件，2. win+r打开，输入eventvwr.msc  
参考[Zabbix日志监控之监控Windows用户登录][Zabbix_Windows]理解

# 触发器 #

比较常见的2个触发器条件如下  
8080字符串匹配成功：\{192.168.1.239:log\[/usr/local/tomcat/apache-tomcat-8.5.37/logs/catalina.out,8080,\].str(8080)\}=1  
60秒内有数据：\{192.168.1.239:log\[/usr/local/tomcat/apache-tomcat-8.5.37/logs/catalina.out,8080,\].nodata(60)\}=0  
完整效果如下：  
![在这里插入图片描述][20190219135037577.png]

[Link 1]: https://www.zabbix.com/documentation/4.0/zh/manual/config/items/itemtypes/log_items
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FjaGVueXVhbg_size_16_color_FFFFFF_t_70]: /images/20220318/8c62c9b2e2954ef5bf676de47a03b966.png
[Zabbix_-_key]: https://www.zabbix.com/documentation/4.0/zh/manual/config/items/itemtypes/zabbix_agent
[Zabbix_Windows]: http://blog.51cto.com/qicheng0211/1694583
[20190219135037577.png]: /images/20220318/381f21bbdf0f4dde81f6102c5087b4eb.png