А какие надо ? стояло 0.0.0.0:514 так и оставил.

Как и траппер

tcpdump проверяю - все нормалек, логи сыпятся. Файрвол не блокирует с нужных мне сетей

а логи ты куда перенаправил?

у тебя в настройках МО стоит адресс откуда принимать ?

поднимал у себя syslog-ng ?

ага и комментарий выше

в файле var/log/syslogcollector-ххххх вроде ничего криминального нету.

В настройках мо адрес стоит. на самих устройствах установлен сорс откуда слать

а что есть в логах?

В настройках мо адрес стоит. на самих устройствах установлен сорс откуда слать

Скриншот настроек мо

галку еще надо в поле "источник сислога"

Какую галку ?

удали шот. у тебя тут твои коммьюнити

удали шот. у тебя тут твои коммьюнити

Ага

Какую галку ?

Management address, верно

А вот то что в вебе

Сислог слушает 514?

Проверь

на порту syslogcollector слушае вроде, ранее подобное было, приходилось рестартить

В настройках мо все верно? Я не видел

[root@noc-ms log]# netstat -aunp | grep 514 udp 0 0 0.0.0.0:514 0.0.0.0:* 9459/noc-syslogcoll udp 0 0 0.0.0.0:514 0.0.0.0:* 9461/noc-syslogcoll

Ну, если рестарт помогает, это норма :)

нормально там. значит у него коррелятор и классификатор может глюкавить

А вот то что в вебе

Посмотри очереди nsq для классификатора

вот

что-то тут неправильно

Почему очередь такая большая ?

это ещё маленькая :) у меня было больше.

И как боролся ?

Я может и не насторожился бы, но устройств немного на этой инсталляции, а очередь за 16 часов

немного - 100 шт

Наверное, добавитт классификаторов-корреляторов

А то они не справляются

Наверное, добавитт классификаторов-корреляторов

классификаторов

так тогда у них в очередях должно это быть а не в евентах

Классификаторов

что в логах классификаторов?

Я говорил Диме, он не верит

а у них - пусто

т.е. их нету?

очередь fmwriter разгребает классификатор

они есть, очередей нету, точнее пусто в очередях

я про логи

У меня классификаторов 140 шт

У меня классификаторов 140 шт

максималист, да

максималист, да

Дима не верил, что есть проблема, т.к. кроме меня похоже ни у кого сислог в нок не льёт

Дима не верил, что есть проблема, т.к. кроме меня похоже ни у кого сислог в нок не льёт

в таких объёмах нет

я про логи. которые в var/log/classificator*

Ну вот у меня проблема ? А мне еще сюда надо будет кучу устройств

2017-03-28 10:13:53,818 [nsq.client] [noc-ms:4150:events:fmwriter] received heartbeat 2017-03-28 10:14:13,249 [nsq.reader] [noc-ms:4150:events:fmwriter] testing backoff state with RDY 1 2017-03-28 10:14:13,251 [classifier] [58da0d4561f7ff24f9483154|HP5412zl-1-Tv11-1-8f|10.129.6.208] Managed object found 2017-03-28 10:14:13,252 [classifier] [58da0d4561f7ff24f9483154|HP5412zl-1-Tv11-1-8f|10.129.6.208] Event processed successfully 2017-03-28 10:14:13,252 [nsq.reader] [events:fmwriter] backing off for 85.12 seconds (1 connections) 2017-03-28 10:14:13,810 [classifier] REPORT: 1 events in 999.62ms. 1.00ev/s (failed: 0, deleted: 0, suppressed: 0, unknown: 0, classified: 0, disposed: 0, duplicated: 0, unk. duplicated: 1) 2017-03-28 10:14:23,817 [nsq.client] [noc-ms:4150:events:fmwriter] received heartbeat

в таких объёмах нет

1к устройств всего

Правда с асы прилетает много

Правда с асы прилетает много

с аса не прилетает, с нее ЛЬЕТ

duplicated: 1

с аса не прилетает, с нее ЛЬЕТ

скорее так)

Это о чем ? failed: 0, deleted: 0, suppressed: 0, unknown: 0, classified: 0, disposed: 0, duplicated: 0, unk. duplicated: 1

слово дупликатед 2 раза. к чему относится второе ?

unk. duplicated

чего-то он говорит

я не могу такой лог читать. непонятно что подразумевал разработчик выводя все в куче

наверное, не знает такого класса

я не могу такой лог читать. непонятно что подразумевал разработчик выводя все в куче

подразумевал лог

ERROR: S client not available

наисано же REPORT: 1 events in 999.62ms. 1.00ev/s (failed: 0, deleted: 0, suppressed: 0, unknown: 0, classified: 0, disposed: 0, duplicated: 0, unk. duplicated: 1)

вот скажи, к чему относится unk. duplicated ?

вопрос только что обозначает unk. duplicated

Я про то и пытаюсь сказать.....

вот скажи, к чему относится unk. duplicated ?

предлагаешь лог термины и определения включать?

предлагаешь лог термины и определения включать?

может в дебаге включать

предлагаю в логе писать внятнее ? Например как в сислоге. Или где-то описать формат записи в конкретных логах. Просто если бы я мог сам понять где и что мои кривые руки не так накрутили, я бы вас не отрывал

может в дебаге включать

шутка юмора, да

специальный режим логгирования

;)

предлагаю в логе писать внятнее ? Например как в сислоге. Или где-то описать формат записи в конкретных логах. Просто если бы я мог сам понять где и что мои кривые руки не так накрутили, я бы вас не отрывал

а что поделать, доки нету

писать желающих нету, вот и отрываемся

Ну к ноку должна же быть какая-то документация

Я имею в виду не всё же команда хранит в голове

какая-то есть

+ для заказчика

Слушай, а в чем смысл пложения сущностей ? В ноке можно было просто вебморду сделать к стандартному rsyslog и не вымудряться с своим сислог-сервером

эмм...

если нужна просто морда к rsyslog - то зачем тогда НОК ?

rsyslog сейчас стандарт на всех основных дистрибах.... пишет "хоть в базу хоть за щеку"

вопрос не в том чтобы писать

вопрос в обработке

НОК - чтобы все в одном месте а не плодить опять же сущности. Имея базу сислога можно обработать для выдачи как угодно

Но холивар не наша тема. Наша тема - БОЛЬ НОК

?

Итак, что мне делать с данным конкретным траблом ?

rsyslog сейчас стандарт на всех основных дистрибах.... пишет "хоть в базу хоть за щеку"

попробуй туда побольше влить и поймешь почему все начинают писать своё или смотреть в сторону эластиксёча и прочего

НОК не является базой для сислога

Итак, что мне делать с данным конкретным траблом ?

полагаю, попробовать увеличить количество классификаторов

Ок. сейчас попробую

судя по всему, текущие не справляются с потоком событий, но это, в качестве предположения