o que está causando o rsyslog registrar $ msg ** INVALID PROPERTY NAME ** em vez do conteúdo da mensagem de dispositivos sonicwall?

Question

Eu tenho um par de dispositivos sonicwall apontados em uma instância de rsyslog (v4.6.2) que aparentemente estão formatando suas mensagens de forma desagradável para o plugin mysql.

A instância rsyslog registra outros dispositivos sem problemas (servidores linux e alguns switches), mas a parte da mensagem para os dispositivos sonicwall retorna como

$msgINVALID PROPERTY NAME

O resto da mensagem é registrada corretamente (hora, fonte, instalação etc)

Olhando para o log de depuração do rsyslog, vejo isso no recibo da mensagem

timestamp: Called action, logging to ommysql.so

timestamp: invalid property id: '0'

Se eu também fizer login no modelo de "depuração" recomendado (baseado em arquivo), o resultado será semelhante ao seguinte:

FROMHOST: 'X.X.X.X', HOSTNAME: 'Real Hostname', PRI: 129, syslogtag 'id=firewall', programname: 'id=firewall', APP-NAME: 'id=firewall', PROCID: '-', MSGID: '-',

TIMESTAMP: 'Jan 31 14:10:12', STRUCTURED-DATA: '-',

msg: ' sn=0017C5272ED0 time="2012-01-31 14:10:13" fw=X.X.X.X pri=1 c=32 m=608 msg="IPS

Detection Alert: INFO SNMP Access (UDP)" sid=748 ipscat=INFO ipspri=3 n=0 src=X.X.X.X:LAN:DNS_NAME dst=X.X.X.X:161:PRINTERS:'

rawmsg: '<129>id=firewall sn=0017C5272ED0 time="2012-01-31 14:10:13" fw=X.X.X.X pri=1 c=32 m=608 msg="IPS Detection Alert: INFO SNMP (UDP)" sid=748 ipscat=INFO ipspri=3 n=0 src=X.X.X.X:1052:LAN:DNS_NAME dst=X.X.X.X:161:PRINTERS:'

O rsyslog está agora na versão 6.3.3, mas não consigo encontrar nenhuma confirmação que meu problema seja corrigido em uma versão posterior.

Eu gostaria de ficar com o rpms oficial do centos se possível, no entanto, o "modelo de depuração", parecendo ok, me leva a acreditar que é um problema com o plugin mysql, e a atualização pode ser minha única opção.

Antes de eu seguir esse caminho, alguma idéia se isso é algo que eu possa corrigir alterando o modelo que estou usando ou algum outro cenário que eu perdi?

    

Answer 1

Existe um erro de digitação no template sql, $ msg% em vez de% msg%; que o rsyslog tentou me dizer, e eu até citei na minha pergunta original.