journalctl --verify reports corruption

Question

Acabei de notar essa opção verify para journalctl e decidi experimentar, está mostrando corrupção, o que pode causar isso? e se alguma coisa devo fazer sobre isso? devo investigar mais?

journalctl --verify
PASS: /var/log/journal/19184893a1d645c7a43729e79b10a876/user-1000.journal
Invalid object contents at 3733856░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░   0%
File corruption detected at /var/log/journal/19184893a1d645c7a43729e79b10a876/system.journal:3733856 (of 91734016, 4%).
FAIL: /var/log/journal/19184893a1d645c7a43729e79b10a876/system.journal (Bad message)
Invalid object contents at 21575496░░░░░░░░░░░░░░░░░░░░░░░░░░░░░  45%
File corruption detected at /var/log/journal/19184893a1d645c7a43729e79b10a876/system@60e058db556e4de4b256d0b1ff176aa4-0000000000000001-0004e0b436d20aa1.journal:21575496 (of 44052480, 48%).
FAIL: /var/log/journal/19184893a1d645c7a43729e79b10a876/system@60e058db556e4de4b256d0b1ff176aa4-0000000000000001-0004e0b436d20aa1.journal (Bad message)
PASS: /var/log/journal/19184893a1d645c7a43729e79b10a876/user-1000@60e058db556e4de4b256d0b1ff176aa4-0000000000000a91-0004e0b4ff9a949a.journal
PASS: /var/log/journal/19184893a1d645c7a43729e79b10a876/user-1001.journal

    

Answer 1

Atualmente, o journalctl pode detectar logs corrompidos, mas não possui o comando "fsck" para tentar reparar. O journald mudará automaticamente para um novo arquivo "limpo" assim que detectar o problema, portanto, teoricamente, a perda de dados deve ser mínima.

Até que haja um comando de reparo de arquivo, encontrar o arquivo de diário corrompido e removê-lo é a única cura. Você pode encontrar mais sobre isso em nosso mega-thread do Fedora sobre criação de registro somente em diário o padrão:

For tail corruptions your normal journalctl tool will provide you with as much information as is possible to salvage from the file. It will output the last complete log line and then finish. This is pretty close to how good you can get.

Things are different for corruptions in the middle. We have no nice tool for salvaging data from such corruption, but they could be written relatively easily. However, since they are highly unlikely due to the "append-only" model of the journal this hasn't been on our TODO list.

Claro, se você puder identificar o que causou o problema inicialmente e denunciá-lo, seria bom.

    

Answer 2

Parece estar relacionado com este tópico no wiki do ArchLinux, intitulado: edições do journalctl . Parece ter algo a ver com essa configuração SystemMaxUse in /etc/systemd/journald.conf .

O tópico não é conclusivo, mas várias pessoas tiveram alguma sorte em limpar os logs em /var/log/journal/* ou em aumentar o valor de SystemMaxUse .