[sisyphus] journald issues

[sisyphus] journald issues

[Eugene Prokopiev]

Здравствуйте!

Пытаюсь найти аналог tailf /var/log/messages:

# journalctl -af
-- Logs begin at Ср 2015-09-02 09:38:25 MSK. --
сен 17 11:11:25 enp.donpac.ru synergyc[2943]: Synergy 1.6.3: INFO:
entering screen
сен 17 11:11:25 enp.donpac.ru synergyc[2943]: Synergy 1.6.3: INFO:
leaving screen
сен 17 11:12:27 enp.donpac.ru audit[565]: SERVICE_START pid=565 uid=0
auid=4294967295 ses=4294967295 msg='unit=alive comm="systemd"
exe="/lib/systemd/systemd" hostname=? addr=? terminal=? res=failed'
сен 17 11:12:27 enp.donpac.ru kernel: audit: type=1130
audit(1442477547.259:370): pid=565 uid=0 auid=4294967295
ses=4294967295 msg='unit=alive comm="systemd"
exe="/lib/systemd/systemd" hostname=? addr=? terminal=? res=failed'
сен 17 11:13:07 enp.donpac.ru audit[565]: SERVICE_START pid=565 uid=0
auid=4294967295 ses=4294967295 msg='unit=alive comm="systemd"
exe="/lib/systemd/systemd" hostname=? addr=? terminal=? res=failed'
сен 17 11:13:07 enp.donpac.ru kernel: audit: type=1130
audit(1442477587.260:371): pid=565 uid=0 auid=4294967295
ses=4294967295 msg='unit=alive comm="systemd"
exe="/lib/systemd/systemd" hostname=? addr=? terminal=? res=failed'
сен 17 11:14:27 enp.donpac.ru audit[565]: SERVICE_START pid=565 uid=0
auid=4294967295 ses=4294967295 msg='unit=alive comm="systemd"
exe="/lib/systemd/systemd" hostname=? addr=? terminal=? res=failed'
сен 17 11:14:27 enp.donpac.ru kernel: audit: type=1130
audit(1442477667.260:372): pid=565 uid=0 auid=4294967295
ses=4294967295 msg='unit=alive comm="systemd"
exe="/lib/systemd/systemd" hostname=? addr=? terminal=? res=failed'
-- Reboot --
сен 05 18:13:08 enp.donpac.ru kernel: audit: type=1130
audit(1441465987.503:44): pid=1 uid=0 auid=4294967295 ses=4294967295
msg='unit=user@500 comm="systemd" exe="/lib/systemd/systemd"
hostname=? addr=? terminal=? res=success'
сен 05 18:13:08 enp.donpac.ru kernel: audit: type=1105
audit(1441465987.506:45): pid=559 uid=0 auid=500 ses=1
msg='op=PAM:session_open
grantors=pam_tcb,pam_mktemp,pam_limits,pam_loginuid,pam_systemd
acct="enp" exe="/usr/sbin/sshd" hostname=enp-adsl addr=10.7.1.10
terminal=ssh res=success'

Что это за сообщения от 5 сентября в конце?

Периодически (или например при попытке приконнектиться по ssh) в
выводе journalctl -af появляется чудовищное количество сообщений вида:

сен 17 03:51:09 enp.donpac.ru audit[590]: SERVICE_START pid=590 uid=0
auid=4294967295 ses=4294967295 msg='unit=alive comm="systemd"
exe="/lib/systemd/systemd" hostname=? addr=? terminal=? res=failed'
сен 17 03:52:09 enp.donpac.ru audit[590]: SERVICE_START pid=590 uid=0
auid=4294967295 ses=4294967295 msg='unit=alive comm="systemd"
exe="/lib/systemd/systemd" hostname=? addr=? terminal=? res=failed'
сен 17 03:52:09 enp.donpac.ru kernel: audit: type=1130
audit(1442451129.163:1009): pid=590 uid=0 auid=4294967295
ses=4294967295 msg='unit=alive comm="systemd"
exe="/lib/systemd/systemd" hostname=? addr=? terminal=? res=failed'

Если отмотать вверх, то окажется, что journalctl -af решил вывалить
сообщения за несколько дней. Сообщения от sshd при этом в выводе
journalctl -u sshd найти можно, но они совершенно безумным образом
отсортированы - сначала 2 сентября, потом 17, потом 5.

Это нормально или я все-таки что-то делаю неправильно?

-- 
WBR,
Eugene Prokopiev

Re: [sisyphus] journald issues

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 985 bytes --]

On Thu, Sep 17, 2015 at 11:25:57AM +0300, Eugene Prokopiev wrote:

> Периодически (или например при попытке приконнектиться по ssh) в
> выводе journalctl -af появляется чудовищное количество сообщений вида:

Это audit. Либо запустить auditd, либо попросить kernel не слать эти
сообщения, иначе они действительно забивают лог нафиг.

Так как на десктопе мне оно нафиг не нужно, audit=0 ядру решил все мои
проблемы.

> Если отмотать вверх, то окажется, что journalctl -af решил вывалить
> сообщения за несколько дней. 

Странно, man говорит, что -f подразумевает по-умолчанию -n 10. То бишь
вывалить он должен был только последние 10 строчек.

> Сообщения от sshd при этом в выводе
> journalctl -u sshd найти можно, но они совершенно безумным образом
> отсортированы - сначала 2 сентября, потом 17, потом 5.
> Это нормально или я все-таки что-то делаю неправильно?

Странно, у себя я такого поведения не наблюдаю.

-- 
С уважением, Денис

http://mithraen.ru/

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 181 bytes --]

Re: [sisyphus] journald issues

[Eugene Prokopiev]

17 сентября 2015 г., 11:49 пользователь Денис Смирнов
<mithraen@freesource.info> написал:

> Странно, у себя я такого поведения не наблюдаю.

После чистки логов и audit=0 в параметрах ядру полегчало.

-- 
WBR,
Eugene Prokopiev

Re: [sisyphus] journald issues

[Alexey Shabalin]

17 сентября 2015 г., 13:19 пользователь Eugene Prokopiev <enp@itx.ru> написал:
> 17 сентября 2015 г., 11:49 пользователь Денис Смирнов
> <mithraen@freesource.info> написал:
>
>> Странно, у себя я такого поведения не наблюдаю.
>
> После чистки логов и audit=0 в параметрах ядру полегчало.

Это systemd, точнее journald теперь включает audit по-умолчанию. в v
218 journald научили слушать audit (systemd-journald-audit.socket), а
заодно и включать по-умолчанию :)
По этой теме гуглится следующее:
1) https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=773528
2) https://bugzilla.redhat.com/show_bug.cgi?id=1160046
и в завершении
3) http://thread.gmane.org/gmane.linux.kernel/1857321

audit=0 для многих решит проблему.
Так же при установке пакета audit, сообщения аудита в журнале не
замечены (может из-за того, что у меня ядра un-def)

Предлагаю поступить как в debian, не включать по-умолчанию
https://anonscm.debian.org/cgit/pkg-systemd/systemd.git/tree/debian/patches/Don-t-enable-audit-by-default.patch


-- 
Alexey Shabalin

Re: [sisyphus] journald issues

[Евгений Терешков]

Alexey Shabalin пишет:

>>> Странно, у себя я такого поведения не наблюдаю.
>> После чистки логов и audit=0 в параметрах ядру полегчало.
> Это systemd, точнее journald теперь включает audit по-умолчанию. в v
> 218 journald научили слушать audit (systemd-journald-audit.socket), а
> заодно и включать по-умолчанию :)
> По этой теме гуглится следующее:
> 1) https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=773528
> 2) https://bugzilla.redhat.com/show_bug.cgi?id=1160046
> и в завершении
> 3) http://thread.gmane.org/gmane.linux.kernel/1857321
> audit=0 для многих решит проблему.
> Так же при установке пакета audit, сообщения аудита в журнале не
> замечены (может из-за того, что у меня ядра un-def)
> Предлагаю поступить как в debian, не включать по-умолчанию
> https://anonscm.debian.org/cgit/pkg-systemd/systemd.git/tree/debian/patches/Don-t-enable-audit-by-default.patch

Я за. А то приходится везде выключать это счастье.

-- 
С уважением, Терешков Евгений.
Jabber ID: evg@altlinux.org, evg_krsk@jabber.ru