Por que o auth.log é rotacionado várias vezes todos os dias?

Question

Eu notei um comportamento suspeito do meu auth.log . Por algum motivo, ele está sendo girado várias vezes toda vez que ele deve girar.

2014-06-15 06:25:06,102 fail2ban.filter : INFO   Log rotation detected for /var/log/auth.log
2014-06-15 06:25:06,102 fail2ban.filter : INFO   Log rotation detected for /var/log/auth.log
2014-06-15 06:25:20,117 fail2ban.filter : INFO   Log rotation detected for /var/log/auth.log
2014-06-15 06:25:20,117 fail2ban.filter : INFO   Log rotation detected for /var/log/auth.log

/etc/logrotate.d/ syslog-ng

/var/log/auth.log
{
    rotate 4
    weekly
    missingok
    notifempty
    compress
    delaycompress
    sharedscripts
    postrotate
            invoke-rc.d syslog-ng reload > /dev/null
    endscript
}

Eu verifiquei logs antigos e descobri que isso começou há alguns meses.
O que está errado aí?

    

Answer 1

1. Execute o logrotate no debug e, talvez, force mode para verificar quais configurações e quanto tempo é rotacionado. Talvez várias configurações de logrotate tentem girar auth.log.
2. Em seguida, verifique seu log cron, quantas vezes o logrotate foi chamado. Talvez alguma configuração do cron tenha sido duplicada e chame logrotate várias vezes.

Answer 2

Isso é causado por ter vários filtros no fail2ban monitorando o mesmo log para diferentes combinações de failregex ... Exemplo de seus filtros para apache, badbots e wordpress ...

Encontre seu arquivo jail e execute o seguinte comando: grep "/ var / log / auth" jail.local

ou algo semelhante, deve mostrar três instâncias.