Vannacht is er iets gebeurd: waar het verslag werkelijk staat

De machine is vannacht herstart en niemand heeft daarom gevraagd. Alles draait weer, niets is zichtbaar stuk, en de enige eerlijke zin die iemand kan uitspreken is deze: er is iets gebeurd.

Bewaking kent drie verslagen en ze beantwoorden drie verschillende vragen. Een melding zegt dat er iets gebeurde. Een metriek zegt welke vorm het had. Een logboek zegt waarom. Dit stuk gaat over het derde, en over het ongemakkelijke feit dat juist het logboek over de interessante minuut het vaakst weg is.

De eerste vraag is kleiner dan u denkt

Vóór alle hardwaretheorieën stelt u de goedkoopste vraag die er is: is hij afgesloten, of is hij gestorven?

Eén regel beantwoordt dat. Een nette afsluiting laat aan het eind van het logboek van de vorige start een handtekening achter: de logdienst noteert dat hem gevraagd is te stoppen, en noteert daarna dat hij gestopt is. Een machine die de stroom verloor laat helemaal geen einde achter. Het verslag houdt gewoon op midden in gewone activiteit.

Dat ene onderscheid halveert het hele onderzoek. Een net einde betekent dat iets besloot te herstarten, dus zoek de opdrachtgever: een update, een waakhond, een geplande taak, een mens. Geen einde betekent dat de machine onderbroken werd, dus kijk naar stroom, warmte, geheugen en de opslag eronder.

Maar alleen als die vorige start nog bestaat

Hier zit de val. Het journaal bewaart geschiedenis alleen blijvend wanneer een bepaalde map op schijf bestaat. Ontbreekt die, dan leeft het journaal in het geheugen, en elke herstart wist precies het bewijs waarvoor u kwam. Er komt geen fout en geen waarschuwing; u vraagt om de vorige start en krijgt te horen dat die er niet is.

Dat controleert u beter op een rustige middag dan op de ochtend dat u het nodig hebt. Het is één map, en die bepaalt het verschil tussen een verslag hebben en denken dat u er een hebt.

Het heeft bovendien dezelfde vorm als een val die twee keer benoemd mag worden: een opnemer die het lot deelt van het opgenomene. De grafiek die u het hardst wilt is degene die ophield geschreven te worden op het moment dat het interessant werd; en het logboek dat u het hardst wilt hoort bij de start die niet meer bestaat.

Het bestand dat het halve internet u aanraadt, staat er misschien niet

Gemeten op een actuele installatie, Proxmox VE 9.2.6 op Debian 13.6: de klassieke systeemlogdienst is niet geïnstalleerd, en /var/log/syslog bestaat niet.

Dat weegt zwaarder dan het klinkt. Een groot deel van het probleemoplossingsadvies uit de afgelopen vijftien jaar begint met "kijk in /var/log/syslog". Op een actuele machine levert die opdracht niets op, en voor iemand onder druk leest het resultaat als *ik heb geen logboeken* in plaats van *ik kijk op de verkeerde plek*. Het systeemverslag is tegenwoordig het journaal, en dat opent u niet in een editor, dat bevraagt u.

Proxmox houdt een tweede verslag bij, en dat beantwoordt een andere vraag

Los van het systeemjournaal houdt Proxmox VE een eigen takenlogboek bij. Elke handeling die via de webinterface of de API begint wordt een taak met een kenmerk, een begintijd, een eindtijd en een eindstatus, en naast de losse taakbestanden staat een indexbestand. Op één laboratoriumhost telde die index 283 regels, met ongeveer 960 taakbestanden erachter.

De twee verslagen zijn goed in verschillende dingen. Het journaal is goed in "wat deed het systeem". Het takenlogboek is goed in "wie vroeg wat, en is het afgemaakt". Wanneer een virtuele machine een momentopname draagt die niemand zich herinnert te hebben gemaakt, of een wijziging zonder auteur opduikt, antwoordt het takenlogboek meestal sneller dan het journaal, want het is een lijst van bedoelingen en geen stroom van gebeurtenissen.

Bepaal het plafond voordat u de geschiedenis nodig hebt

Standaard wordt de grens van het journaal uitgedrukt als aandeel van het bestandssysteem en niet als tijdsduur. Op de hierboven gemeten host was geen uitdrukkelijke grens ingesteld en was het journaal gegroeid tot ongeveer 276 MB.

Twee getallen kent u beter van tevoren: hoeveel ruimte het journaal mag innemen, en hoe ver terug dat op die machine werkelijk reikt. De volgorde telt, en het is dezelfde als bij metrieken. Bepaal hoe ver terug u moet kunnen kijken, en kies dan de instelling die zo ver reikt. Het antwoord midden in een incident ontdekken betekent ontdekken dat het antwoord "niet ver genoeg" luidt.

Wat Atlas doet, en niet doet

Atlas vervangt het journaal niet en probeert uw logboeken niet voor u te lezen. Er is hier geen logboekzoekfunctie, en iets anders beweren zou u een slechte ochtend bezorgen.

Wat Atlas draagt is de eerste helft: het dagelijkse overzicht meldt een ongeplande herstart als feit, met machine en tijdstip, zodat de vraag überhaupt gesteld wordt. Het lezen blijft van u en het antwoord woont nog steeds in het journaal.

Daar draait het om. De ergste versie van vannacht is niet de herstart die u met het verkeerde bestand open onderzocht. Het is de herstart die niemand opmerkte, want een verslag dat niemand ooit opent beantwoordt niets.