Größe SYSLOG 4096KB trotz logrotate

[wtor68]

Hallo Jens,

da ich auf der Suche nach einem Problem war, ist mir aufgefallen, das die Größe vom syslog (hier /var/log/messages) bei Start des syslogd per Option auf 4096KB beschränkt wird:

etc/init.d/S07logging:

SYSLOGD_ARGS="-n -m 0 -s 4096 -b 1 -D"

D.h. der syslogd scheint die Dateien vor dem logrotate zu rotieren. Dabei gehen aber Informationen verloren. Aktuell habe ich diese messages* Dateien in /var/log:

-rw-r--r-- 1 root root 3517031 Jun 4 22:03 messages
-rw-r--r-- 1 root root 4194331 Jun 4 19:21 messages.0
-rw-r--r-- 1 root root 144841 Jun 3 03:59 messages.1.gz

messages ist aktuell.
messages.0 geht von 04.06 17:00 bis 04.06. 19:21.
messages.1.gz geht vom 03.06. 01:37 bis 03.06. 04:00.

D.h. durch das rotieren durch den syslogd fehlen hier die Daten von 03.06. 04:00 bis 04.06. 17:00. Da mein Problem heute am 04.06 um 02.02 auftrat, fehlen mir leider die Daten zur Analyse.

Sollte das rotieren nicht nur durch logrotate erfolgen und der syslogd hier keine Beschränkung haben (oder nur eine große Notfallbeschränkung)?

Viele Grüße
Torsten

[jmaus]

Sollte das rotieren nicht nur durch logrotate erfolgen und der syslogd hier keine Beschränkung haben (oder nur eine große Notfallbeschränkung)?

Der Grund für dieses doppelte Rotieren ist eben damit nicht irgendein Prozess den syslog daemon zwischen den logrotate aufrufen zubombardiert und damit das memory knapp wird (weil /var/log/messages eben im RAM liegt). In der Tat sollte es aber natürlich zu keinerlei verlust kommen und er die syslogd eigene rotation so erledigen das nicht verloren geht. Müsste man sich also noch einmal genauer anschauen.

[wtor68]

Hallo Jens,

klar soweit, das meinte ich auch mit Notfallbeschränkung
Ist im Normalbetrieb auch kein Thema. Nur bei der Fehlersuche ist es halt störend.

[jmaus]

klar soweit, das meinte ich auch mit Notfallbeschränkung
Ist im Normalbetrieb auch kein Thema. Nur bei der Fehlersuche ist es halt störend.

Wie gesagt, warum mir bis jetzt noch nicht so bewusst das da teile des syslog verloren gehen durch die doppelte rotation. Kann ich mir auch gerade ehrlich gesagt nicht ganz so erklären bzw. hab keine Lösung dafür in Sicht gerade...