zabbix3.4.7主動模式監控日誌(多關鍵字)

日誌監控原理

一、Zabbix Server和Zabbix Agent會追蹤日誌文件的大小和最後修改時間，而且分別記錄在字節計數器和最新的時間計數器中。
二、Agent會從上次讀取日誌的地方開始讀取日誌。
三、字節計數器和最新時間計數器的數據會被記錄在Zabbix數據庫，而且發送給Agent，這樣可以保證Agent從上次中止的地方開始讀取日誌。
四、當日志文件大小小於字節計數器中的數字時，字節計數器會變爲0，從頭開始讀取文件。
五、全部符合配置的文件，都會被監控。
六、一個目錄下的多個文件若是修改時間相同，會按照字母順序來讀取。
七、到每一個Update interval的時間時，Agent會檢查一次目錄下的文件。
八、Zabbix Agent每秒發送日誌量，有一個日誌行數上限，防止網絡和CPU負載太高，這個數字在zabbix_agentd.conf中的MaxLinePerSecond。

log文件的item解釋

log[file,<regexp>,<encoding>,<maxlines>,<mode>,<output>,<maxdelay>]

file - 日誌文件的全路徑。
regexp - 過濾日誌的正則表達式。
encoding - 字符編碼，默認爲英文單字節SBCS(Single-Byte Character Set)。
maxlines - agent每秒發送給server（或proxy）的數據的最大行數，這個參數會覆蓋掉zabbix_agentd.conf配置文件裏的’MaxLinesPerSecond’參數。
mode - 可填參數：all（默認），skip（跳過舊數據）。
output - 自定義格式化輸出，默認輸出regexp匹配的整行數據。轉義字符’\0’表示regexp。
maxdelay-The ‘maxdelay’ parameter in log items allows ignoring some older lines from log files in order to get the most recent lines analyzed within the ‘maxdelay’ seconds.（這一句我翻譯不許，因此上上英文~）
備註：我推薦你們使用第二個參數，若是隻使用第一個參數，將會致使日誌文件裏的內容通通丟給zabbix_server記錄。加上第二個參數時，過濾後的日誌內容纔會傳給zabbix server，大大減小了日誌內容佔用的空間。

監控端 zabbix_Agentd.conf 的配置調整

zabbix客戶端配置主動模式尤其重要。在/etc/zabbix/zabbix-agentd.conf中進行修改

LogFile=/tmp/zabbix_agentd.log
StartAgents=0          #客戶端agent模式，設置爲0表示關閉被動模式
Server=**.**.**.**   若是設置爲純被動模式，則應該註釋掉這一條指令
ServerActive=**.**.**.**    #主動模式的server IP地址
Hostname=test_host    #重要：客戶端的hostname，通常使用本機ip
RefreshActiveChecks=120    #被監控端到服務器獲取監控項的週期，默認120s便可
BufferSize=200        #被監控端存儲監控信息的空間大小
Timeout=10            #超時時間


建立監控項

在zabbix後臺管理頁面中，選中主機添加監控項。

其中：類型選擇Zabbix客戶端（主動式）
鍵值：log[/eric/error_log-20170724.log,」abc|yyy」,,,skip,,]
鍵值含義見前面item解釋。
日誌時間格式：yyyy-MM-dd hh:mm:ss，爲「年－月－日：小時－分鐘－秒」。
類型：Zabbix主動式。
zabbix agent檢測分爲主動（agent active）和被動（agent）兩種形式，主動與被動的說法均是相對於agent來討論的。簡單說明一下主動與被動的區別以下：
主動：agent請求server獲取主動的監控項列表，並主動將監控項內須要檢測的數據提交給server/proxy
被動：server向agent請求獲取監控項的數據，agent返回數據。

建立觸發器

表達式：{zabbix:log[/etc/zabbix/a.log,"ERROR|error",,,skip,,].iregexp(ERROR|error)}=1 and  {zabbix:log[/etc/zabbix/a.log,"ERROR|error",,,skip,,].nodata(60)}=0

拆開解析：{zabbix:log[/etc/zabbix/a.log,"ERROR|error",,,skip,,].iregexp(ERROR|error)}=1 ，iregexp(ERROR|error)}=1 意味着若是匹配到ERROR和error關鍵字其中一個就告警，iregexp意味着正則表達式匹配。

                  {zabbix:log[/etc/zabbix/a.log,"ERROR|error",,,skip,,].nodata(60)}=0，nodata(60)}=0意味着若是60秒內有數據產生則表達式爲真，即60秒內若是沒有新數據了，則表達式爲假，以防一直採集原有的關鍵字，不是採集新生成的關鍵字（重要）

　　　　　 and表示同時知足兩個條件，觸發器纔會觸發。

查看數據

手動添加此兩個關鍵字的日誌記錄，而後在檢測中——最新數據中，能夠看到攔截這兩個關鍵字的日誌記錄。出現此兩個關鍵字說明攔截到。
在首頁-儀表盤中會看到相關警報。