rsyslog temp. auf RAMdisk

[mrserious]

Hallo,

ich betreibe einen zentralen Syslog-Server, an den diverse APs, WLAN-Controller, Server und Switches ihre Logs schicken. Insofern kommt da täglich einiges an Daten zusammen.
Im Server steckt ne SSD und um diese nicht mit ständigen Schreibzugriffen zu belasten, überlege ich, die Logs einfach auf eine RAMdisk schreiben zu lassen (bzw. das komplette Verzeichnis /var/log auf diese zu verlinken).
Die Daten sind nicht so kritisch, dass ein Verlust fatal wäre, insofern genügt es, sie z.B. stündlich auf die SSD zu syncen.

Was haltet ihr von dieser Idee, bzw. was übersehe ich oder mache ich falsch?

[Mäuseturm]

Ja, grundsätzlich keine blöde Idee. Ich habe das jahrelang auf meinem eigenen Server auch so gemacht und habe noch einige andere Server laufen, auf denen ich das noch so handhabe.

Stichwort ist "transient /var/log", da wird das /var/log von einem tmpfs "übermountet" und nur regelmäßig in ein /var/irgendwas gesichert, das beim Systemstart dann wieder den Ausgangszustand für das tmpfs'sche /var/log bildet.

Anleitung und Scripte dafür findest Du unter: https://debian-administration.org/artic ... t_/var/log

Allerdings muss das tmpfs dann auch wirklich ausreichend groß dimensioniert sein. Es kann ja unter bestimmten Umständen passieren, dass ein Logfile mal unerwartet groß wird und dann läuft dieses /var/log voll, was das System und die meisten Prozesse so gar nicht mögen. Nachdem mir letztens genau deshalb Mail- und IMAP-Server den Dienst quittierten, habe ich vorerst wieder auf herkömmliches /var/log, direkt auf der SSD gespeichert, umgestellt.

[mrserious]

Ich mache es so, dass ich per cronjob einfach rsync drüber laufen lasse.
Bei nem reboot wird der Kram automatisch mit dem selben rsync-Script gesichert.
Nach nem Neustart muss ich sowieso einmal händisch etwas anstoßen, bei der Gelegenheit wird dann auch gleich die Sicherung der logfiles zurückgespielt.