Оптимизация производительности rsyslog

Question

Что нужно сделать, чтобы настроить rsyslog для лучшей производительности?

• Мы можем позволить потерять некоторые элементы в случае сбоя сервера или просто потерять их.
• Мы собираемся сохранить логи в БД MySQL.
• Мы хотели бы иметь возможность обрабатывать не менее 100 записей журнала в секунду с задержкой 0,001 - 0,005 секунды.
• Мы пишем логи из PHP-приложения.

Спасибо за помощь.

Answer 1

Мы только что выполнили аналогичное упражнение, используя MongoDB в качестве базы данных, поэтому я задокументирую, что мы сделали, и надеюсь, что это поможет вам.

Мы впервые использовали rsyslog, поэтому потребовалось немало усилий, чтобы найти правильную документацию и собрать все воедино. В конце концов, наши тестовые драйверы (мы используем SoapUI) могут получить 1000 TPS через веб-сервис php, который использует rsyslog для записи сводной записи транзакции.

Мы нашли следующие статьи, которые заставили нас начать:

• http://www.rsyslog.com/doc/rsyslog_high_database_rate.html
• http://www.rsyslog.com/tag/mongodb/

Обзор состоит в том, что вы включите инфраструктуру очереди rsyslog для записи входящих сообщений на диск, когда очередь памяти демона заполнена. В нашем случае мы включили $ActionQueueSaveOnShutdown, который, похоже, вам не нужен. Затем вы настроите набор правил rsyslog для анализа входящих сообщений и передачи их обработчику вывода для MySQL. Наконец, ваш php-скрипт будет использовать openlog() и syslog() для записи любых данных, которые вы хотите записать. О, нам также пришлось скомпилировать rsyslog из исходного кода, чтобы включить плагины json / mongo, и это само по себе было упражнением. Мы используем rsyslog 7.4.5 в Ubuntu 12.04.

Я, конечно, не эксперт по rsyslog, однако могу дать вам наши файлы конфигурации и код в качестве отправной точки. Опять же, они предназначены для MongoDB, надеюсь, это даст вам представление о том, что делать и где что-то менять для вашей реализации.

Удачи!

/etc/rsyslog.conf:

$ModLoad imuxsock # provides support for local system logging
$ModLoad imklog   # provides kernel logging support (previously done by rklogd)

# Load modules for MongoDB integration: json parser and MongoDB output driver
module(load="mmjsonparse")
module(load="ommongodb")

# Use traditional timestamp format.
# To enable high precision timestamps, comment out the following line.
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

# Filter duplicated messages
$RepeatedMsgReduction on

# Set the default permissions for all log files.
$FileOwner syslog
$FileGroup adm
$FileCreateMode 0640
$DirCreateMode 0755
$Umask 0022
$PrivDropToUser syslog
$PrivDropToGroup syslog

# Where to place spool files
$WorkDirectory /var/spool/rsyslog

# use queue to decouple the db writes from default message handling
# From http://www.rsyslog.com/doc/rsyslog_high_database_rate.html
$MainMsgQueueFileName mainq     # set file name for main queue, also enables disk mode
$ActionQueueType LinkedList     # use asynchronous processing
$ActionQueueFileName mongodbq   # set file name for mongo db queue, enables disk mode
$ActionResumeRetryCount -1      # infinite retries on insert failure
$ActionQueueSaveOnShutdown on   # write all queue data to disk when rsyslogd is
                                #   terminated (default is off)

# Include all config files in /etc/rsyslog.d/
$IncludeConfig /etc/rsyslog.d/*.conf

/etc/rsyslog.d/10-mongo.conf:

input(type="imuxsock" socket="/dev/log")

template(name="mongodblocal" type="subtree" subtree="$!")

# use json parser for all "local0" facility messages, 
# if parsed successfully run the template to load the
# message into the MongoDB database.
if $syslogfacility-text == 'local0' then {
        action(type="mmjsonparse")
        if $parsesuccess == "OK" then {
                # set some local vars that are appended onto the 
                # document that's written to MongoDB
                set $!time = $timestamp;
                set $!sys = $hostname;
                set $!procid = $syslogtag;
                set $!syslog_fac = $syslogfacility;
                set $!syslog_sever = $syslogpriority;
                set $!pid = $procid;
                action(type="ommongodb" server="127.0.0.1" db="test" collection="syslog" template="mongodblocal")
        }
}

/etc/rsyslog.d/50-default.conf: Примечание: это отключает сообщения "local0" для обработки по умолчанию.

# First some standard log files.  Log by facility.
auth,authpriv.*         /var/log/auth.log

# don't write "local0" messages to syslog, 
# as they're processed using ommongodb (see 10-mongo.conf)
*.*;local0,auth,authpriv.none   -/var/log/syslog

kern.*              -/var/log/kern.log
mail.*              -/var/log/mail.log

# Logging for the mail system.  Split it up so that
# it is easy to write scripts to parse these files.
mail.err            /var/log/mail.err

# Logging for INN news system.
news.crit           /var/log/news/news.crit
news.err            /var/log/news/news.err
news.notice         -/var/log/news/news.notice

# Emergencies are sent to everybody logged in.
*.emerg                                :omusrmsg:*

Звонки, связанные с веб-сервисом PHP:

// open syslog, include the process ID and open the connection to the logger 
// immediately, and use a user defined logging mechanism Local0
openlog($SCRIPT_NAME, LOG_PID | LOG_NDELAY, LOG_LOCAL0);
// note: calling closelog() is optional, and we don't use it

...
// construct $doc, which is what will be logged, change this as appropriate
// for your implementation; here $ary_headers is the request's HTTP headers,
// and $request/$response are what was posted/returned
$doc = array("headers" => $ary_headers
            ,"request" => $request
            ,"response" => $response
            );
...

// write the log entry to syslog, where it queues it and writes it to MongoDB
// NOTE: need the '@cee: ' prefix so the rsyslog json parser will process it
// See:  http://www.rsyslog.com/doc/rsyslog_conf_modules.html/mmjsonparse.html

// JSON_BIGINT_AS_STRING = Encodes large integers as their original string value.
// JSON_NUMERIC_CHECK = Encodes numeric strings as numbers.
// JSON_UNESCAPED_SLASHES = Don't escape "/".

syslog(LOG_INFO, '@cee: ' . json_encode($doc, JSON_BIGINT_AS_STRING | JSON_NUMERIC_CHECK | JSON_UNESCAPED_SLASHES));

Answer 2

Это может помочь, хотя речь идет о Elasticsearch, а не MySQL: http://blog.sematext.com/2014/01/20/rsyslog-8-1-elasticsearch-output-performance/

Но он объясняет основы того, как rsyslog работает с очередями и потоками, и у вас есть конфигурация нового стиля, с которой вы можете начать. Плюс ссылки, которые отправляют вас в документацию rsyslog об очередях, наборах правил и т. Д.

Для получения дополнительной информации о формате конфигурации нового стиля, это хороший ресурс: http://www.rsyslog.com/doc/rainerscript.html