はじめに
自宅でSynologyのNAS DS120Jを使用しています。
単なるNASだけでなく、SysLogサーバとして「ログセンター」に自宅内のネットワーク機器のログを集約しているのですが、困ったことに重い重いGUIでしかログが見れないのでなんとかしたいと思います。
ログセンターの仕様の調査
ログセンターでは受信したログは指定したディレクトリに保存されます。我が家の環境では、/volume1/syslog ディレクトリに保存されており、このような状況です。
synology@NAS:/volume1/syslog$ ls -la
total 1444
drwxrwxrwx+ 12 root root 4096 Sep 24 10:49 .
drwxr-xr-x 26 root root 4096 Sep 19 08:25 ..
drwxrwxrwx+ 2 root root 4096 Sep 24 03:51 192.168.100.1
drwxrwxrwx+ 2 root root 4096 Sep 24 04:18 192.168.100.110
～略～
-rwxrwxrwx+ 1 system log 225280 Sep 24 03:49 SYNOSYSLOGDB__LOCALARCH_CON
-rwxrwxrwx+ 1 system log 32768 Sep 24 11:05 SYNOSYSLOGDB__LOCALARCH_CON-shm
-rwxrwxrwx+ 1 root root 98912 Sep 24 11:05 SYNOSYSLOGDB__LOCALARCH_CON-wal
-rwxrwxrwx+ 1 system log 593920 Sep 24 03:49 SYNOSYSLOGDB__LOCALARCH.DB
-rwxrwxrwx+ 1 system log 32768 Sep 24 11:06 SYNOSYSLOGDB__LOCALARCH.DB-shm
-rwxrwxrwx+ 1 root root 243112 Sep 24 11:06 SYNOSYSLOGDB__LOCALARCH.DB-wal
-rwxrwxrwx+ 1 system log 40960 Sep 24 03:49 SYNOSYSLOGDB__LOCALARCH_SYS
-rwxrwxrwx+ 1 system log 32768 Sep 24 11:06 SYNOSYSLOGDB__LOCALARCH_SYS-shm
-rwxrwxrwx+ 1 root root 32992 Sep 24 11:06 SYNOSYSLOGDB__LOCALARCH_SYS-wal
-rwxrwxrwx+ 1 system log 73728 Sep 23 03:46 SYNOSYSLOGDB__LOCALARCH_XFER
ネットワーク機器個別のログは、それそれのディレクトリに配置されていて、例えば192.168.100.110のシスログの場合は、↓の上な状態です。
synology@NAS:/volume1/syslog/192.168.100.110$ ls -la
total 2192
drwxrwxrwx+ 2 root root 4096 Sep 24 04:18 .
drwxrwxrwx+ 12 root root 4096 Sep 24 10:49 ..
-rwxrwxrwx+ 1 system log 1658880 Sep 24 03:49 SYNOSYSLOGDB_192.168.100.110.DB
-rwxrwxrwx+ 1 system log 32768 Sep 24 10:18 SYNOSYSLOGDB_192.168.100.110.DB-shm
-rwxrwxrwx+ 1 root root 535632 Sep 24 10:19 SYNOSYSLOGDB_192.168.100.110.DB-wal
この、*.DBというファイルがログファイルの実体ですが、生ログではなくデータベース（SQLite）になっています。
このデータベースファイルの仕様はSynologyのサイトにも記載がないので、調べていきます。
データベースファイル
テーブル
テーブルの一覧を抽出してみます。
synology@NAS:/volume1/syslog/192.168.100.110$ sqlite3 SYNOSYSLOGDB_192.168.100.110.DB "SELECT name FROM sqlite_master WHERE type='table'"
logs
logs という名前のテーブルしかありませんね。
スキーマ
logs テーブルのスキーマ情報を調べてみましょう。
synology@NAS:/volume1/syslog/192.168.100.110$ sqlite3 SYNOSYSLOGDB_192.168.100.110.DB ".schema logs"
CREATE TABLE logs (id integer primary key, host text default NULL, ip text default NULL, fac text default NULL, prio text default NULL, llevel text default NULL, tag text default NULL, utcsec int default NULL, r_utcsec int default NULL, tzoffset text default NULL, ldate date default CURRENT_DATE, ltime time default CURRENT_TIME, prog text default NULL, msg text default NULL);
CREATE INDEX logs_id_idx ON logs (id);
CREATE INDEX logs_llevel_idx ON logs (llevel);
CREATE INDEX logs_utcsec_idx ON logs (utcsec);
CREATE INDEX logs_r_utcsec_idx ON logs (r_utcsec);
CREATE INDEX logs_ldate_idx ON logs (ldate);
CREATE INDEX logs_ltime_idx ON logs (ltime);
なんとなく見えましたね。
| 列 | 型 | 用途 |
|---|---|---|
| id | integer | ID（主キー） |
| host | text | ホスト名 |
| ip | text | IPアドレス |
| fac | text | ファシリティ |
| prio | text | 優先度 |
| llevel | text | レベル |
| tag | text | SysLogのタグ |
| utcsec | int | UNIX時間 |
| r_utcsec | int | UNIX時間（SysLog送信元？） |
| tzoffset | text | タイムゾーン |
| ldate | date | 日付 |
| ltime | time | 時刻 |
| prog | text | プログラム名 |
| msg | text | ログメッセージ |
こんな感じかと。
ログの検索
本日のリンクダウンを抽出してみましょう。
synology@NAS:/volume1/syslog/192.168.100.110$ sqlite3 SYNOSYSLOGDB_192.168.100.110.DB "SELECT * FROM logs WHERE ldate='2023-09-24' AND msg LIKE '%UPDOWN%'"
5491|192.168.100.110|192.168.100.110|local7|err|err|bb|1695492066|1695492067|+09:00|2023-09-24|03:01:06|JST|%LINK-3-UPDOWN: Interface GigabitEthernet0/4, changed state to up
5492|192.168.100.110|192.168.100.110|local7|notice|notice|bd|1695492067|1695492067|+09:00|2023-09-24|03:01:07|JST|%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/4, changed state to up
5493|192.168.100.110|192.168.100.110|local7|notice|notice|bd|1695492933|1695492935|+09:00|2023-09-24|03:15:33|JST|%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/4, changed state to down
5494|192.168.100.110|192.168.100.110|local7|err|err|bb|1695492934|1695492936|+09:00|2023-09-24|03:15:34|JST|%LINK-3-UPDOWN: Interface GigabitEthernet0/4, changed state to down
5497|192.168.100.110|192.168.100.110|local7|err|err|bb|1695494465|1695494466|+09:00|2023-09-24|03:41:05|JST|%LINK-3-UPDOWN: Interface GigabitEthernet0/4, changed state to up
5498|192.168.100.110|192.168.100.110|local7|notice|notice|bd|1695494466|1695494466|+09:00|2023-09-24|03:41:06|JST|%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/4, changed state to up
5499|192.168.100.110|192.168.100.110|local7|notice|notice|bd|1695494941|1695494942|+09:00|2023-09-24|03:49:01|JST|%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/4, changed state to down
5500|192.168.100.110|192.168.100.110|local7|err|err|bb|1695494942|1695494943|+09:00|2023-09-24|03:49:02|JST|%LINK-3-UPDOWN: Interface GigabitEthernet0/4, changed state to down
はい、できました。
SQLが苦手な方は、ある程度絞ったあとでgrepで頑張っても良いかもしれません。
synology@NAS:/volume1/syslog/192.168.100.110$ sqlite3 SYNOSYSLOGDB_192.168.100.110.DB "SELECT * FROM logs WHERE ldate='2023-09-24'" | grep UPDOWN
5491|192.168.100.110|192.168.100.110|local7|err|err|bb|1695492066|1695492067|+09:00|2023-09-24|03:01:06|JST|%LINK-3-UPDOWN: Interface GigabitEthernet0/4, changed state to up
5492|192.168.100.110|192.168.100.110|local7|notice|notice|bd|1695492067|1695492067|+09:00|2023-09-24|03:01:07|JST|%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/4, changed state to up
5493|192.168.100.110|192.168.100.110|local7|notice|notice|bd|1695492933|1695492935|+09:00|2023-09-24|03:15:33|JST|%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/4, changed state to down
5494|192.168.100.110|192.168.100.110|local7|err|err|bb|1695492934|1695492936|+09:00|2023-09-24|03:15:34|JST|%LINK-3-UPDOWN: Interface GigabitEthernet0/4, changed state to down
5497|192.168.100.110|192.168.100.110|local7|err|err|bb|1695494465|1695494466|+09:00|2023-09-24|03:41:05|JST|%LINK-3-UPDOWN: Interface GigabitEthernet0/4, changed state to up
5498|192.168.100.110|192.168.100.110|local7|notice|notice|bd|1695494466|1695494466|+09:00|2023-09-24|03:41:06|JST|%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/4, changed state to up
5499|192.168.100.110|192.168.100.110|local7|notice|notice|bd|1695494941|1695494942|+09:00|2023-09-24|03:49:01|JST|%LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet0/4, changed state to down
5500|192.168.100.110|192.168.100.110|local7|err|err|bb|1695494942|1695494943|+09:00|2023-09-24|03:49:02|JST|%LINK-3-UPDOWN: Interface GigabitEthernet0/4, changed state to down
こんな感じ。
さいごに
とりあえず、重いGUIに依存せずにログの検索ができるようになりました。
ただ、tailができないのがつらいなぁ。なんかいい方法ないものか。