Indice
Manager di log
I file gestiti dal manager di log
Il server produce alcuni file di log che documentano gli accessi e gli errori. La pagina che si apre è la seguente
Facendo clic sui nomi dei file è possibile aprirli direttamente in consultazione. Se si indica un numero intero n (consigliatissimo) nel campo “Linee di log da visualizzare” si vedranno solo le ultime n righe del file. Volendolo consultare tutto si consiglia di scaricarlo sul proprio computer e poi consultarlo in locale. Per scaricarlo basta fare clic sull'icona all'estrema destra di ogni nome.
| Access_log | E' il file con gli accessi della giornata; di solito non supera i 10 mB |
|---|---|
| Access_log_processed | E' il file dove, di notte, vengono aggiunti i dati di access_log che poi viene azzerato. Quando raggiunge i 200 MB il file viene compresso ed archiviato. Con il traffico attuale si raggiungono i 200 MB di registrazioni ogni 25 giorni circa. |
| Access_Log_processed_1.gz | E' il precedente access_log_processed compresso. Abbiamo scaricato in locale tutti i log dall'inizio dell'attività del forum. Sono memorizzati sui dischi di backup. |
| Access_log_processed_2.gz | Prima di memorizzare il nuovo access_log_processed_1.gz, il sistema rinomina con .2 quello esistente. Non so quanti ne tenga. Fino a maggio 2012 ne teneva uno solo, da maggio ha cominciato a tenerne più di uno, ma non lo so quanti. |
| Error_log | Sono memorizzate le condizioni di errore (pagine non trovate, ma anche accessi remoti impropri ed altro) |
| Xfer_log | Dovrebbe contenere gli accessi tramite ftp (ma non ne sono sicuro) |
| Xfer_log_processed | Come sopra per quelli del giorno prima. Si veda la differenza tra access_log ed access_log_processed |
Il contenuto di access_log e access_log_processed
Esempio di una riga del file; è stata spezzata in maniera da avere un campo per ogni riga per semplicità di riferimento.
190.51.31.145 - - [26/May/2012:04:11:04 +0200] "GET /Forum3/download/file.php?id=6111 HTTP/1.1" 200 51473 "https://www.atrieste.eu/Forum3/viewtopic.php?f=4&t=3914&start=5800" "Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 5.1; Trident/4.0; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30; FDM)"
- La prima riga è l'indirizzo IP. E' possibile, ad esempio con questa pagina web avere informazioni sulla proprietà dell'indirizzo e sulla sua collocazione geografica. Se il proprio computer possiede il software whois è possibile ricavare informazioni anche da là. Se lo stato di provenienza è affidabile, molto meno lo è la città di provenienza. A meno chi ha contattato il sito non abbia fatto usao di un anonymizer, l'indirizzo IP è affidabile per dedurre la provenienza del contatto.
- I due trattini meno indicano due campi che, normalmente, Apache non gestisce.
- Data ed ora in tempo UTC e vicino ore e minuti da aggiungere per avere l'ora locale
- Operazione chiesta ad Apache; di solito GET e poi la pagina da scaricare seguita dal protocollo
- lo stato della trasmissione (un numero)
- il numero di byte inviati
- la pagina chiamante
- Le infiormazioni sul browser ed il sistema chiamante
Il contenuto di error_log
[Mon Jul 09 09:00:54 2012]
[error]
[client 142.54.169.218]
ModSecurity: [file "/etc/httpd/modsecurity.d/10_asl_rules.conf"] [line "2566"] [id "340687"] [rev "4"]
[msg "Atomicorp.com WAF Rules: Remote File Injection attempt in ARGS"]
[severity "CRITICAL"] Warning. Match of "beginsWith http://%{SERVER_NAME}/" against "MATCHED_VAR" required. [hostname "www.atrieste.eu"] [uri "/Forum3/ucp.php"] [unique_id "LM@ePH8AAAEADZJI5Y8AAAAL"]
Questo è un esempio, ma gli esempi possono essere molteplici e con significati diversi
Il contenuto di xfer_log e di xfer_log:_processed
Thu Jul 05 06:00:08 2012 22 82.54.232.92 17827840 /var/www/vhosts/atrieste.eu/httpdocs/Backup/backup_www_20120705.tar b _ o r atrieste.eu ftp 0 * c
Sembrerebbe un file dove sono memorizzati i trasferimenti fatti con ftp. Il significato dei campi potrebbe essere
- data ed ora
- porta della richiesta di trasferimento
- indirizzo IP del computer chiamante
- byte trasferiti?
- file trasferito?
- Non lo so
Rotazione dei log
Nella parte alta della pagina compare un collegamento alla Rotazione di log. Facendo clic su di essa compare la seguente videata che consente di controllare la gestione dei log stessi.
Cliccando su Disattiva (sconsigliatissimo) i file di log di tipo processed cresceranno indefinitamente fino a quando non si deciderà di scaricarli manualmente. E' sconsigliato perché lo spazio occupato sul disco tende a crescere indefinitamente.
In alternativa è possibile scegliere le condizioni per la rotazione dei log. Essa può essere fatta
- Per dimensione. Quando un file log raggiunge quella dimensione, viene compresso, e memorizzato con un estensione .1.gz (l'estensione gz è tipica dei file compressi da linux con il metodo gzip). Se c'era un altro file con lo stesso nome viene rinominato con l'estensione .2.gz. E così avanti. L'ultimo viene buttato via. Il numero massimo di file da conservare è indicato nel campo numero massimo di file di log, un poco più sotto nella stessa videata. Attualmente la dimensione per attivare la rotazione è fissata in 200 MB.
- Per data La rotazione viene creata ogni giorno, ogni settimana, ogni mese.
I file di log possono essere compressi con gzip, metodo standard di compressione per linux, che però è apribile anche da windows con opportuni programmi gratuiti (si veda ad esempio la versione ufficiale di gzip per windows, ma probabilmente ci sono anche altri programmi in grado di farlo (Winzip, winrar, 7zip, …. Per risparmiare spazio, si consiglia caldamente la compressione.
Invia i log elaborati via email. Personalmente non mi sono mai arrivati pur avendo, credo, attivato il servizio. I motivi potrebbero essere molteplici.
Suggerimenti per la rotazione dei log
Con i parametri definiti nella videata, attualmente la rotazione avviene ogni 20 giorni. L'eventuale rotazione viene fatta sempre, dal sistema, durante la notte.
Il log degli errori cresce anche, ma molto più lentamente. Quando supera i 100 MB riduco un giorno la dimensione massima dei file di log, in modo che venga eseguita la rotazione, lo scarico ed il sistema riparte da 0.
Se ci si dovesse avvicinare alla saturazione dello spazio su disco si potrebbe ridurre lo spazio occupato dai log a 100 MB oppure attivare l'opzione settimanale.