@freeseacher куда там после трап\сислог идёт. в nsq же ?

@freeseacher куда там после трап\сислог идёт. в nsq же ?

nsq мы вчера проверяли, тоже работает

всё работает, но проблема есть =)

причем специфическая

У нас вообще бермудский треугольник

dst ip * tcp 5000 за другим контекстом не работает, даже сессии asa не создаёт, то же надо разбираться

кто знает, какие приколы 5000 tcp у асы есть?)

@buhaha во, а на почту событие пришло!

@freeseacher странно

Interface ge-4/2/0 (*-ar01) is down

/me негодует

железка в том же L2 что и нок ?

причем событие на почту пришло тоже с задержкой, минут 5-7

железка в том же L2 что и нок ?

нет

причем событие на почту пришло тоже с задержкой, минут 5-7

но тут можно уже и на почту грешить

может фаерволы твои режут по ппс или как ещё

не всё приходит ноку

может фаерволы твои режут по ппс или как ещё

нету fw по пути, роутинг

vrf для мгмта

/me идеи кончаются =))

Илья, я же говорю, диагностируй

разбивай на кусочки и собирай мозайку

событие создано когда ?

положено в очередб когда ?

проверять очередь пришли когда ?

ну и так далее

так, с одним разобрался

на конкретно этой железке VIP RE для управления, а трапы и сислог с физического адреса отправляются MASTER RE, этого адреса нету в МО и события дропаются

Как быть в таком случае?

@dvolodin можно будет доабвить разные сурсы как несколько? Или плодить железки, типо cl-re1, cl-re0?

Но от другой сообщений в логе нету, но при этом список событий ростет, с неправильным временем, последнее событие в 14:36

может куда-то буферит данные нок?

только в очередь

Но от другой сообщений в логе нету, но при этом список событий ростет, с неправильным временем, последнее событие в 14:36

Может, у чего-то таймзона сбилась?

Может, у чего-то таймзона сбилась?

на 2ч 20 мин?

Деревня под баку!

все ноды мск, время синк, на железке тоже ntp, msk

что в логах то ?

что в логах то ?

в логе syslog, trap нету этой железки, вообще, хотя события в events пополняются

ar01>dis clock 2016-10-08 17:04:00 Saturday Time Zone(MSK) : UTC+03:00

вот даже я залогинился на железку, она трап скинула, он пришёл на интерфейс, а дальше в лог не попал

[root@wrk01 ~]# tcpdump -i eno16780032 | grep 10.100.138.12 tcpdump: verbose output suppressed, use -v or -vv for full protocol decode listening on eno16780032, link-type EN10MB (Ethernet), capture size 65535 bytes 17:10:56.756516 IP 10.100.138.12.56678 > wrk01.syslog: SYSLOG local4.notice, length: 207

[root@wrk01 log]# tail -f trapcollector-default.log | grep 10.100.138.12

пусто

сислог грепай)

ой еп

всё равно

17:11:41.155567 IP 10.100.138.12.55259 > wrk01.snmptrap: C=* V2Trap(157) system.sysUpTime.0=328217905 S:1.1.4.1.0=E:2011.5.25.207.2.4 E:2011.5.25.207.1.2.1.1.2.130="*" E:2011.5.25.207.1.2.1.1.3.130="10.50.74.63" E:2011.5.25.207.1.2.1.1.4.130="VTY1"

в трапколлет логе нету этого Ip

проверяй сурс айпи у МО

проверяй сурс айпи у МО

так смотри: 1. событий нету дропнутых по Invalid src 2. events пополняется, но с кривым временем

вот я залогинился на железку, trap пришёл на интерфейс, в логе trap/syslog события нету

Однако событие появилось в classifier логе, на другой ноде

ага. нода не одна...

на интерфейс в общем snmp trap приходит на wrk node; в classifier во всех инстансах нету адреса данной железки; на wrk в syslog/trap collect логе нету события

о

2016-10-08 17:21:13,975 [classifier] [57f900d948473062f1c6f69d|*-ar01|10.100.138.12] Event class: Unknown | Syslog ({u'syslog_message': u'Aug 22 2016 22:02:19 *-ar01 %%01CM/5/USER_ACCESSRESULT(s)[113953]:[USER_INFO_AUTHENTICATION]DEVICEMAC:0c-45-ba-95-d3-0c;DEVICENAME:*-ar01;USER:*;MAC:ff-ff-ff-ff-ff-ff;TIME:1471903339;ZONE:UTC+0300;DAYLIGHT:false;ERRCODE:0;RESULT:success;'}) 2016-10-08 17:21:13,978 [classifier] [57f900d948473062f1c6f69d|*-ar01|10.100.138.12] Event processed successfully

syslog_message': u'Aug 22 2016 22:02:19

ага

но на железке время ок

ar01>dis clock 2016-10-08 17:23:58 Saturday Time Zone(MSK) : UTC+03:00

очистить "всё" на железке ?

она не хранит логи локально

буферит? глюканула?

ERROR: S client not available

так такое не с одной железкой же

охуела? =))

и не только хуа

хуевей, да

хех.

может процес в ху генерит сообщения не учитывая норм время

я вижу, что в 17:21 пришло сообщение, где в теле 22:02

это сколько разнича и какой пояс ?

2:20

ой не

разница в сообщениях в ноке отображается в 2:20

но при этом событий, которые были отправлены нету!

поеду мозг прочищу

то же самое и с cisco: сообщения на интерфейсе есть; 2016-10-08 17:35:16,180 [classifier] [57f9042448473062f02f2e4a|sdc-br01|10.100.3.41] Managed object found 2016-10-08 17:35:16,226 [classifier] [57f9042448473062f02f2e4a|sdc-br01|10.100.3.41] Dropped by action 2016-10-08 17:35:16,226 [classifier] [57f9042448473062f02f2e4a|sdc-br01|10.100.3.41] Event processed successfully непонятно что за сообщение; в snmp trap log пусто

хз почему пусто, но скорее всего или нет такого МО или опять же сурс-айпи не совпадает

в моём случае было так

На invalid src не ругается

МО есть конечно же

а. просмотрел я

да. мо есть

надо понять херли он потом "Dropped by action"

бля. что они курят в монге..

Все что-то курят

:(

или пьют. или ширяют по вене.

а почему бы ноку не дать настройку использовать время приема сообщения, а не время инцедента в пакете?

ээээээ ? у тебя почти реалтаййм.

у меня - да, поэтому сислогу-нг сказано писать свое время и класть в базу...

Поэтому у вас производство самолетов закрыли

бывает, что на свиче sntp не сработал и время не установилось

не понял шутки юмора

пиздить по лицу такой свитч.