[sisyphus] logrotate не ротейтит логи от snort

[sisyphus] logrotate не ротейтит логи от snort

[Alexandr Isaev]

Имеем стандартные логи от snort:

#ls -l /var/log/snort
-rw------- 1 snort snort 10778160 Дек 17 13:30 alert
-rw------- 1 snort snort      651 Дек 13 11:05 snort.log.1197507874
-rw------- 1 snort snort  5919270 Дек 17 13:30 snort.log.1197509314
-rw------- 1 snort snort      205 Дек 13 12:09 snort.log.1197511518
-rw------- 1 snort snort     3719 Дек 13 15:48 snort.log.1197524772
-rw------- 1 snort snort     4165 Дек 13 15:50 snort.log.1197524897
-rw------- 1 snort snort      710 Дек 13 15:53 snort.log.1197525128
-rw------- 1 snort snort      207 Дек 13 15:54 snort.log.1197525245
-rw------- 1 snort snort  5733048 Дек 17 13:02 snort.log.1197527259
-rw------- 1 snort snort    17992 Дек 17 13:30 snort.log.1197860539

и стандартный логротейт файл из пакета snort:

# [root@avi logrotate.d]# cat /etc/logrotate.d/snort
/var/log/snort/* {
     daily
     rotate 7
     missingok
     compress
     postrotate
         /sbin/service snortd condreload 2>/dev/null || true
     endscript
}

/var/log/snort/*/* {
     daily
     rotate 7
     missingok
     compress
     postrotate
         /sbin/service snortd condreload 2>/dev/null || true
     endscript
}

а теперь запускаем logrotate на эту конструкцию:

# logrotate -d /etc/logrotate.d/snort
reading config file /etc/logrotate.d/snort
Ignoring /var/log/snort/snort.log.1197507874, because of ".1197507874" 
ending
Ignoring /var/log/snort/snort.log.1197509314, because of ".1197509314" 
ending
Ignoring /var/log/snort/snort.log.1197511518, because of ".1197511518" 
ending
Ignoring /var/log/snort/snort.log.1197524772, because of ".1197524772" 
ending
Ignoring /var/log/snort/snort.log.1197524897, because of ".1197524897" 
ending
Ignoring /var/log/snort/snort.log.1197525128, because of ".1197525128" 
ending
Ignoring /var/log/snort/snort.log.1197525245, because of ".1197525245" 
ending
Ignoring /var/log/snort/snort.log.1197527259, because of ".1197527259" 
ending
Ignoring /var/log/snort/snort.log.1197860539, because of ".1197860539" 
ending
End of reading config info for /var/log/snort/*
error: error accessing /var/log/snort/*: No such file or directory
error: /etc/logrotate.d/snort:11 glob failed for /var/log/snort/*/*

/var/log/snort/alert проигнорирован, snort.log.* в общем-то понятно 
почему проигнорированы, но они ротейтятся самим snort-ом поэтому ничего 
страшного, а вот с alert надо что-то делать.

Re: [sisyphus] logrotate не ротейтит логи от snort

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2497 bytes --]

On Mon, Dec 17, 2007 at 01:59:57PM +1000, Alexandr Isaev wrote:
> Имеем стандартные логи от snort:
> 
> #ls -l /var/log/snort
> -rw------- 1 snort snort 10778160 Дек 17 13:30 alert
> -rw------- 1 snort snort      651 Дек 13 11:05 snort.log.1197507874
> -rw------- 1 snort snort  5919270 Дек 17 13:30 snort.log.1197509314
> -rw------- 1 snort snort      205 Дек 13 12:09 snort.log.1197511518
> -rw------- 1 snort snort     3719 Дек 13 15:48 snort.log.1197524772
> -rw------- 1 snort snort     4165 Дек 13 15:50 snort.log.1197524897
> -rw------- 1 snort snort      710 Дек 13 15:53 snort.log.1197525128
> -rw------- 1 snort snort      207 Дек 13 15:54 snort.log.1197525245
> -rw------- 1 snort snort  5733048 Дек 17 13:02 snort.log.1197527259
> -rw------- 1 snort snort    17992 Дек 17 13:30 snort.log.1197860539
> 
> и стандартный логротейт файл из пакета snort:
> 
> # [root@avi logrotate.d]# cat /etc/logrotate.d/snort
> /var/log/snort/* {
>      daily
>      rotate 7
>      missingok
>      compress
>      postrotate
>          /sbin/service snortd condreload 2>/dev/null || true
>      endscript
> }
> 
> /var/log/snort/*/* {
>      daily
>      rotate 7
>      missingok
>      compress
>      postrotate
>          /sbin/service snortd condreload 2>/dev/null || true
>      endscript
> }
> 
> а теперь запускаем logrotate на эту конструкцию:
> 
> # logrotate -d /etc/logrotate.d/snort
> reading config file /etc/logrotate.d/snort
> Ignoring /var/log/snort/snort.log.1197507874, because of ".1197507874" 
> ending
> Ignoring /var/log/snort/snort.log.1197509314, because of ".1197509314" 
> ending
> Ignoring /var/log/snort/snort.log.1197511518, because of ".1197511518" 
> ending
> Ignoring /var/log/snort/snort.log.1197524772, because of ".1197524772" 
> ending
> Ignoring /var/log/snort/snort.log.1197524897, because of ".1197524897" 
> ending
> Ignoring /var/log/snort/snort.log.1197525128, because of ".1197525128" 
> ending
> Ignoring /var/log/snort/snort.log.1197525245, because of ".1197525245" 
> ending
> Ignoring /var/log/snort/snort.log.1197527259, because of ".1197527259" 
> ending
> Ignoring /var/log/snort/snort.log.1197860539, because of ".1197860539" 
> ending
> End of reading config info for /var/log/snort/*
> error: error accessing /var/log/snort/*: No such file or directory
> error: /etc/logrotate.d/snort:11 glob failed for /var/log/snort/*/*

А зачем вам понадобился /var/log/snort/*/*?


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] logrotate не ротейтит логи от snort

[Alexandr Isaev]

Dmitry V. Levin пишет:
> On Mon, Dec 17, 2007 at 01:59:57PM +1000, Alexandr Isaev wrote:
>> Имеем стандартные логи от snort:
>>
>> #ls -l /var/log/snort
>> -rw------- 1 snort snort 10778160 Дек 17 13:30 alert
>> -rw------- 1 snort snort      651 Дек 13 11:05 snort.log.1197507874
>> -rw------- 1 snort snort  5919270 Дек 17 13:30 snort.log.1197509314
>>
>> # logrotate -d /etc/logrotate.d/snort
>> reading config file /etc/logrotate.d/snort
>> Ignoring /var/log/snort/snort.log.1197507874, because of ".1197507874" 
>> ending
...
>> Ignoring /var/log/snort/snort.log.1197860539, because of ".1197860539" 
>> ending
>> End of reading config info for /var/log/snort/*
>> error: error accessing /var/log/snort/*: No such file or directory
>> error: /etc/logrotate.d/snort:11 glob failed for /var/log/snort/*/*
> 
> А зачем вам понадобился /var/log/snort/*/*?
> 
Мне они не нужны, это в файле /etc/logrotate/snort прописано (by 
default), точнее немного не так, а вот-так:

/var/log/snort/* /var/log/snort/*/* {
       daily
       rotate 7
       missingok
       compress
       postrotate
           /sbin/service snortd condreload 2>/dev/null || true
       endscript
}

Я так понимаю, что если ЭТО не совсем верно, то надо найти как должно 
быть, и сделать соответствующий патч что-бы при установки с нуля не 
приходилось еще и с бубном танцевать выискивая как его заставить работать.
Я обычно не имею привычки после установки служб лазить в конфиг 
logrotate ибо привык что такие вещи уже давно вылизаны и проблем в этой 
области не возникало, просто тут мне не понравилось, что за 3 дня лог до 
10Мб вырос, вот я и полез посмотреть "а чего это он?", откуда и 
выяснилось, что alert должен, по идее, ежедневно ротейтится, а logrotate 
его вообще игнорирует но непонятной мне пока причине.

Re: [sisyphus] logrotate не ротейтит логи от snort

[Andrew Kornilov]

Alexandr Isaev wrote:
> Я так понимаю, что если ЭТО не совсем верно, то надо найти как должно 
> быть, и сделать соответствующий патч что-бы при установки с нуля не 
> приходилось еще и с бубном танцевать выискивая как его заставить работать.
> Я обычно не имею привычки после установки служб лазить в конфиг 
> logrotate ибо привык что такие вещи уже давно вылизаны и проблем в этой 
> области не возникало, просто тут мне не понравилось, что за 3 дня лог до 
> 10Мб вырос, вот я и полез посмотреть "а чего это он?", откуда и 
> выяснилось, что alert должен, по идее, ежедневно ротейтится, а logrotate 
> его вообще игнорирует но непонятной мне пока причине.
https://bugzilla.altlinux.org/show_bug.cgi?id=11723  Оно? У меня еще руки не дошли,
логи растут :)

Re: [sisyphus] logrotate не ротейтит логи от snort

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 923 bytes --]

On Mon, Dec 17, 2007 at 07:47:29PM +0200, Andrew Kornilov wrote:
> Alexandr Isaev wrote:
> > Я так понимаю, что если ЭТО не совсем верно, то надо найти как должно 
> > быть, и сделать соответствующий патч что-бы при установки с нуля не 
> > приходилось еще и с бубном танцевать выискивая как его заставить работать.
> > Я обычно не имею привычки после установки служб лазить в конфиг 
> > logrotate ибо привык что такие вещи уже давно вылизаны и проблем в этой 
> > области не возникало, просто тут мне не понравилось, что за 3 дня лог до 
> > 10Мб вырос, вот я и полез посмотреть "а чего это он?", откуда и 
> > выяснилось, что alert должен, по идее, ежедневно ротейтится, а logrotate 
> > его вообще игнорирует но непонятной мне пока причине.
> https://bugzilla.altlinux.org/show_bug.cgi?id=11723  Оно? У меня еще руки не дошли,
> логи растут :)

Нет, это не оно, скорее конфиг неправильный.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] logrotate не ротейтит логи от snort

[Alexandr Isaev]

Andrew Kornilov пишет:
> Alexandr Isaev wrote:
>> Я так понимаю, что если ЭТО не совсем верно, то надо найти как должно 
>> быть, и сделать соответствующий патч что-бы при установки с нуля не 
>> приходилось еще и с бубном танцевать выискивая как его заставить работать.
>> Я обычно не имею привычки после установки служб лазить в конфиг 
>> logrotate ибо привык что такие вещи уже давно вылизаны и проблем в этой 
>> области не возникало, просто тут мне не понравилось, что за 3 дня лог до 
>> 10Мб вырос, вот я и полез посмотреть "а чего это он?", откуда и 
>> выяснилось, что alert должен, по идее, ежедневно ротейтится, а logrotate 
>> его вообще игнорирует но непонятной мне пока причине.
> https://bugzilla.altlinux.org/show_bug.cgi?id=11723  Оно? У меня еще руки не дошли,
> логи растут :)

В том числе оно (это что касается snort.log.1197507874).

Оснавная проблема с логом alert.

Упростим задачу:
#cat /etc/logrotate.d/snort
/var/log/snort/alert {
     daily
     rotate 7
     missingok
     compress
     postrotate
         /sbin/service snortd condreload 2>/dev/null || true
     endscript
}

# [root@avi logrotate.d]# logrotate -d /etc/logrotate.d/snort
reading config file /etc/logrotate.d/snort
End of reading config info for /var/log/snort/alert

Handling 1 logs

rotating pattern: /var/log/snort/alert  after 1 days (7 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/snort/alert
   log does not need rotating

# ls -l /var/log/snort/alert
-rw------- 1 snort snort 12812501 Дек 18 09:13 /var/log/snort/alert

"considering log /var/log/snort/alert log does not need rotating" - but why?