Zabbix log监控以及大量告警邮件清除

Zabbix log监控

首先关于zabbix，你要先理清逻辑，先画个流程图
获取到数据，筛选数据，排除规则，告警
同一个日志文件，多个条件，就可以一个item，多个trigger
item一般只有一个筛选条件，进行初步过滤，trigger 可以精确筛选并告警 regexp 、 iregexp （不区分分大小写）
不确定的key可以看官方文档
https://www.zabbix.com/documentation/5.0/manual/appendix/triggers/functions

Trigger 里特别注意的还有PROBLEM event generation mode
这个要选多次如下图 ，理由是Windows 日志报错，同一时间来只发送一封邮件，选Multiple 只要告警就发送邮件

Linux Windows 都可以使用的zabbix自带的key
特别注意，模式要选主动模式，因为是主动模式自带的,如果要开启主动模式：更改zabbix_agent.conf配置文件，追加下面两行
StartAgent=20 为0则关闭被动模式
RefreshActiveChecks=60 主动发送信息间隔

zabbix item key
log和logrt
log[路径,关键字,]
logrt[路径,关键字,] 路径支持正则
如果是多个日志，日志名称已时间结尾，就用logrt
关键字支持正则，使用正则要加引号""

比如
log[C:\zabbix\zabbix_agentd.log,Starting,]
logrt[“C:\zabbix\zabbix_agentd-.-..log”,Starting,]
这里我是直接copy的agentd.log日志名称类似于zabbix_agentd-copy-(2).log
显示带有Starting的行

另外有多个筛选条件的，还是使用log[路径,关键字,]，第二个，第三个等筛选条件在trigger里进行配置
Trigger：关于日志一般有两个参数一起使用regexp和nodata

regexp 利用这个参数，在V那行填入筛选条件，Result 这里0代表取反，匹配到的数据不要，1是匹配到的内容确定就触发告警

nodata 一般设置为60秒内没有数据就告警

regexp 和 nodata 之间用and连接

windows 监控eventlog 有自带的key可以使用
例
eventlog[Application,“JP1/AJS2”]
Application是日志名，JP1/AJS2是源 source
触发告警的话Error使用4，warning使用2
logseverity()}=4

逻辑是筛选Application日志里的JP1/AJS2，找到后，发现有Error的就触发告警

大量告警邮件清除

我犯过的致命错误
1：配置完成后，我做测试，action填写了客户
log监控会把之前日志里有的数据全部获取到，不要着急配置action，非要配置action 收件人请填写自己，不然会收到大量告警邮件
2：出现大量告警，且告警恢复了，邮件太多了，需要看下action log

如果状态是邮件等待发送，需要做下列几步，可以清除大量告警
1：使告警状态变成正常状态
2：登录数据库

select count(*) from alerts where status =0; #查询有多少未发送的告警
update zabbix.alerts set status = 1 where status = 0;#更新未发送告警的当前状态，告警是恢复了的话，未发送的邮件就会清除
exit
systemctl restart zabbix_server #只重启zabbix_server,不要停数据库