我说zabbix日志监控

Posted 2021-04-23 发发个人实践及心得分享

首先，我要感慨 真是好记性不如乱笔头！

网上有很多关于zabbix日志的，而我写这篇分享是纯粹因为下午完善了一个脚本，加入了写日志部分，顺便就把日志加入了监控。而在添加监控项的时候，我查阅了几年前写的文档，发现了有更好的实现方法，可以提升日志采集效率，减少磁盘空间……还是惊讶多年后会再次更新这个文档！

因为很多企业和运维人员都还在大规模使用zabbix，这里我就把zabbix日志监控的实践分享一下：

1.懒人方法

log[文本路径]，如：

log[/var/log/messages]

log[c:\1.txt]

触发器表达式写法：

{主机名:key.函数(参数)}<表达式>

日志关键字告警触发器写法实例：

/var/log/messages日志中出现Failed错误关键字

{WebServer:log[/var/log/messages].str(Failed)}=1

and

{WebServer:log[/var/log/messages].nodata(300)}=0

这种方式触发器的时候才体现了匹配关键字，会导致整个日志文件内容都会被采集入库，试想一个tomcat的catalina.out的日志……大大消耗了zabbix-db的磁盘空间。

2.推荐方法

log[file,<regexp>,<encoding>,<maxlines>,<mode>,<output>,<maxdelay>]

推荐添加监控项时，不要偷懒，通过业务梳理，把第二个参数regexp的关键字加上，如log[/var/log/messages,"(error|failed)",,,,]，则匹配到预设关键字的日志内容才会被采集入库，大大减少了日志内容占用的磁盘空间。

item表达式：

log[/tomcat/logs/catalina.out,"StackOverflowError|OutOfMemoryError",,,,]

触发器：

({Templates log:log[/tomcat/logs/catalina.out,"StackOverflowError|OutOfMemoryError",,,,].regexp(StackOverflowError|OutOfMemoryError)}<>0) 

and

({Templates log:log[/tomcat/logs/catalina.out,"StackOverflowError|OutOfMemoryError",,,,].nodata(300)}=0)

当然，现在使用ES收集日志已经成为了日志收集的主流手段，对于大日志文件，我还是推荐使用ES，而对于小文件日志，使用zabbix监控也不失为一种较好的手段。