Rsyslog dando mensagem de falta de espaço no buffer. [RESOLVIDO]

1. Rsyslog dando mensagem de falta de espaço no buffer. [RESOLVIDO]

leojaco25
(usa XUbuntu)

Enviado em 09/03/2017 - 16:05h

Boa tarde.

Estou configurando o rsyslog para enviar os logs de um servidor web para um servidor central de logs. Porém, está apresentando a mensagem no debug:

3879.851307250:main Q:Reg/w0 : actionCommitAllDirect: action 9, state 1, nbr to commit 0 isTransactional 1
3879.851310885:main Q:Reg/w0 : doTransaction: have commitTransaction IF, using that, pWrkrInfo 0x7f31b384d330
3879.851313659:main Q:Reg/w0 : entering actionCallCommitTransaction(), state: itx, actionNbr 9, nMsgs 67
3879.851316744:main Q:Reg/w0 : omfwd: doTryResume 192.168.X.XXX iRet 0
3879.851319540:main Q:Reg/w0 : 192.168.X.XXX:PPPP/tcp
3879.851323054:main Q:Reg/w0 : omfwd: add 551 bytes to send buffer (curr offs 0)
3879.851326427:main Q:Reg/w0 : omfwd: add 543 bytes to send buffer (curr offs 551)
3879.851329582:main Q:Reg/w0 : omfwd: add 543 bytes to send buffer (curr offs 1094)
......
3879.851581197:main Q:Reg/w0 : omfwd: add 538 bytes to send buffer (curr offs 15807)
3879.851584024:main Q:Reg/w0 : omfwd: add 533 bytes to send buffer (curr offs 16345)
3879.851625795:main Q:Reg/w0 : omfwd: we need to do a tcp send due to buffer out of space. If the transaction fails, this will lead to duplication of messagesomfwd: TCP sent 16345 bytes, requested 16345

O arquivo de conf do rsyslog está assim (tirei o que estava comentado, e não usava para deixar menor a informação aqui):

#### MODULES ####
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imjournal # provides access to the systemd journal
$ModLoad imfile

#### GLOBAL DIRECTIVES ####
$WorkDirectory /var/lib/rsyslog
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$IncludeConfig /etc/rsyslog.d/*.conf
$OmitLocalLogging on
$IMJournalStateFile imjournal.state

#### RULES ####
*.info;mail.none;authpriv.none;cron.none;local0.none /var/log/messages
authpriv.* /var/log/secure
mail.* -/var/log/maillog
cron.* /var/log/cron
*.emerg :omusrmsg:*
uucp,news.crit /var/log/spooler
local7.* /var/log/boot.log
local0.* @@192.168.X.XXX:XXXX

# ### begin forwarding rule ###
#$ActionQueueFileName fwdRule1 # unique name prefix for spool files
$ActionQueueMaxDiskSpace 4g # 1gb space limit (use as much as possible)
#$ActionQueueSaveOnShutdown on # save messages to disk on shutdown
#$ActionQueueType LinkedList # run asynchronously
#$ActionResumeRetryCount -1 # infinite retries if host is down

action (
type="omfwd"
Target="192.168.X.XXX"
Port="XXXX"
Protocol="tcp"
RebindInterval="300000"
ZipLevel="3"
queue.size="300000"
queue.maxdiskspace="20G"
queue.workerthreadminimummessages="15000"
queue.maxfilesize="500M"
# compression.stream.flushOnTXEnd="off"
# queue.dequeuebatchsize="1000"
# queue.discardseverity="3"
# queue.checkpointinterval="10"
# queue.type="linkedlist"
# queue.workerthreads="1"
# queue.timeoutshutdown="10"
# queue.timeoutactioncompletion="10"
# queue.timeoutenqueue="20"
# queue.timeoutworkerthreadshutdown="10"
)
*.* @@192.168.X.XXX:XXXX
# ### end of the forwarding rule ###

Porém, notei que, sempre que o buffer chega em +-16KB, ele dá esta mensagem. E pelo que notei, às vezes supera os 32KB de buffer (essa mensagem repete duas vezes, em alguns casos). Tenho aproximadamente 600 arquivos de logs que são lidos e enviados para o centralizador de logs, que é um Graylog (indicação do amarildosertorio, e é excelente servidor) com elasticsearch. Este problema está causando perda de algumas informações de log.

Alguém saberia como resolver este problema?

Grato,
Leandro.

0 0

Quote