Linux跨服务器监控文件,[转]Linux下用inotify-tool实时监控服务器文件系统

使用

inotify相关参数：

/proc/sys/fs/inotify/max_queued_events #请求events数的最大值

/proc/sys/fs/inotify/max_user_instances #每个user可创建的instances数量上限

/proc/sys/fs/inotify/max_user_watches #可监控的目录最大数

inotifywait是一个监控等待事件，可配合shell实时监控记录文件系统，常用参数：

--timefmt 时间格式

%y年 %m月 %d日 %H小时 %M分钟

--format 输出格式

%T时间 %w路径 %f文件名 %e状态

-m 始终保持监听状态，默认触发事件即退出。

-r 递归查询目录

-q 打印出监控事件

-e 定义监控的事件，可用参数：

open 打开文件

access 访问文件

modify 修改文件

delete 删除文件

create 新建文件

attrb 属性变更

样例

#!/bin/bash  WAIT_DIR=${1-/tmp} /usr/local/inotify/bin/inotifywait -qmre attrib,modify,move,create,delete $WAIT_DIR --format '"%w" "%f" "%e" "%T"' --timefmt='%F_%T' \ | while read DIR FILE EVENT TIME ;do echo $DIR $FILE $EVENT $TIME done

问题

监控单个文件时候，如果文件mv了无法监控，因为inotify是基于inode来监控，linux

mv文件不改变真正的inode。

怎样解决，目前我想到的两个办法

Inotifywait 不能监控单个文件mv操作可以有两个办法

1 监控目录 --exclude 正则取非

2 脚本判断

#!/bin/bash WAIT_DIR=${1-/tmp} /usr/inotify/bin/inotifywait -qmre attrib,modify,move,create,delete $WAIT_DIR --exclude '/?!1/' --format '"%w" "%f" "%e" "%T"' --timefmt='%F_%T' | while read DIR FILE EVENT TIME ;do If [ $FILE == 1 ] ; then

echo $DIR $FILE $EVENT $TIME

fi done

扩展 阅读

notify的配置选项

使用Inotify时，要特别注意内核中关于它的两个配置。首先/proc/sys/fs/inotify/max_user_instances

规定了每个用户所能创建的Inotify实例的上限；其次/proc/sys/fs/inotify/max_user_watches规定了每个Inotify实例最多能关联几个监控(watch)。你可以很容易地试验在运行过程中达到上限，如：

% inotifywait -r /

Setting up watches. Beware: since -r was given, this may take a while!

Failed to watch /; upper limit on inotify watches reached!

Please increase the amount of inotify watches allowed per user via `/proc/sys/fs/inotify/max_user_watches'.

如果要改变这些配置，只要向相应的文件写入新值即可，如下所示：

# cat /proc/sys/fs/inotify/max_user_watches

8192

# echo 16000 > /proc/sys/fs/inotify/max_user_watches

# cat /proc/sys/fs/inotify/max_user_watches

16000

使用Inotify的一些工具

近一段时间出现了很多基于Inotify的超炫的工具，如incron，它是一个类似于cron的守护进程(daemon)，传统的cron守护进程都是在规定的某个时间段内执行，而incron由于使用了Inotify，可以由事件触发执行。同时incron的安装简单而直观，比如在debian上，首先在/etc/incron.allow中添加使用incron的用户(debian默认不允许用户使用incron，因为如果incron使用不慎的话，例如形成死循环，则会导致系统宕机)：

# echo username > /etc/incron.allow

然后调用”incrontab -e“,

在弹出的编辑器中插入我们自己的规则，例如下面的这条简单的规则，文件一变化incron就会发邮件通知我们：

/srv/test/ IN_CLOSE_WRITE mail -s "$@/$#\n" root

从现在开始，一旦/src/test文件夹中的文件被修改，就会发送一封邮件。但是注意不要让incron监控整个子目录树，因为Inotify只关注inodes，而不在乎是文件还是文件夹，所以基于Inotify的软件都需要自己来处理/预防递归问题。关于incontab详细使用，请参考incrontab的manpage。

如果你还要处理incoming文件夹，那么你可能需要inoticoming。当有文件进入incoming文件夹时Inoticoming就会执行某些动作，从而可以用inoticoming来管理debian的软件仓库(例如软件仓库中一旦有上传源码包或是新添加的二进制包就立刻自动进行编译)，另外，还可以用它来监控系统是否有新上传文件，如果有就发送通知。类似的工具还有(它们都各有专长)：inosync(基于消息通知机制的文件夹同步服务)，iwatch(基于Inotify的程序，对文件系统进行实时监控)，以及lsyncd(一个守护进程(daemon)，使用rsync同步本地文件夹)。

Inotify甚至对传统的Unix工具也进行了改进，例如tail。使用inotail，同时加上-f选项，就可以取代每秒轮询文件的做法。此外，GNU

的coreutils从版本7.5开始也支持Inotify了，我们可以运行下面的命令来确认：

# strace -e inotify_init,inotify_add_watch tail -f ~log/syslog

[...]

inotify_init() = 4

inotify_add_watch(4, "/var/log/syslog", IN_MODIFY|IN_ATTRIB|IN_DELETE_SELF|IN_MOVE_SELF) = 1

从现在开始，通过轮询来确实文件是否需要重新读取的方法应该作为古董了。

在脚本中使用Inotify

Inotify机制并不局限于工具，在脚本语言中也完全可以享受Inotify的乐趣，如Python中可以使用pyinotify和inotifyx，Perl中有Filesys-Notify-Simple和Linux-Inotify2，Inotify的Ruby版有ruby-inotifyrb-inoty和fssm。

总结

综上所述，Inotify为Linux提供了一套高效监控和跟踪文件变化的机制，它可以实时地处理、调试以及监控文件变化，而轮询是一种延迟机制。对于系统管理员，关于实现事件驱动的服务如系统备份，构建服务以及基于文件操作的程序调试等，Inotify无疑提供了强大的支持。