Názory k článku Zpracování systémových logů pomocí Cacti a rsyslog

Díky za skvělý ukázkový článek o monitoringu. Jsem rád, že někdo hezky popsal docela klasickou, ale velmi pěknou a funkční metodu monitoringu takhle názorně. Navíc, když to je od zkušeného síťaře, tak je jasné, že to není jen nějaké levné promo.

Dneska se hodně preferuje monitoring syslogu s pomocí Elastic search. Já jsem obojí viděl nasazené v praxi : syslog+cacti i syslog+elastic, s obojím jsem i trochu pracoval (řekněme rok s Cacti a tři měsíce s Elasticem (ELK)).

Chtěl bych se zeptat, zda by někdo, kdo má větší zkušenosti s obojím dokázal popsat, zda jsou nějaké znatelné výhody při použití cacti. Mě totiž příjde, že Elastic má daleko pokročilejší metody zpracování i návazné možnosti. Děkuji.

Děkuju!

S elastic search porovnání nezvládnu, protože o tom vím jen to, že existuje.

Když jsem napsal dříve něco o Cacti, z diskuze bylo vidět, že se názory na tento nástroj docela rozdílné. Někomu přišlo Cacti složité, já si myslím opak. Při použití několika pluginů se z toho stává docela slušný nástroj. Proto uvažuji o napsání malého seriálu, kde by se jeden díl věnoval základním věcem a další pak automatizaci, thresholdům, alertům a pak dalším pluginům.

Každý monitorovací nástroj je v něčem lepší a něco má slabšího. Netroufnu si dělat nějaká srovnání. Jen bych chtěl ukázat co je na Cacti pěkného.

Jak je výkonné ukládání do db?
Jestli to chápu správně, musí pro každý záznam provést login, insert, logout...

Jak by to vypadalo třeba při 1000 nebo 10000 záznamech za sekundu? (Na mail serveru mám při běžném provozu 100z/s)

Nemáte úplně pravdu.

Jednak existuje persistentní spojení do databáze - ta režie s login a logout se tím dá efektivně zrušit. Nebo pokud víte, že ve Vaší databázi je login a logout drahá operace, můžete použít něco, co drží spojení dlouho - třeba ProxySQL [MySQL] nebo pgpool [PostgreSQL].

A místo INSERT pro každou jednu událost/záznam můžete dělat INSERT DELAYED třeba po 1000 událostech najednou. Databáze by se s takovým zpracováním měla vypořádat lépe.

Když se podíváte do Elasticsearch či Redis pluginu pro Logstash, tak přesně takhle se tam ty operace dělají
Ano, vím, že ES i Redis nejsou typické relační databáze.