Проблемы с eventlog

[turboon]

Здравствуйте. Собираюсь организовать мониторинг состояния RAID массива INTEL. Служба монитора выбрасывает события в eventlog.
Необходимо отлавливать события следующего вида:

Controller ID: 0 VD is now OPTIMAL VD 0. ( код 249 )
...
Controller ID: 0 VD is now DEGRADED VD 0. ( код 252 )

Создаю элементы:
1. eventlog[Application,"VD 0",,"MR_MONITOR"].
Работает, но ловит некоторые не мне нужные события. Ладно, добавляю фильтр по кодам :
2. eventlog[Application,,,"MR_MONITOR",249|250|251|252]
Этот не ловит ничего..
Разбираюсь, создаю такой элемент:
3. eventlog[Application,,,,249|250|251|252]
Он работает!
Возникает вопрос - почему же не работает №2??

P.S. Призываю в эту тему уважаемого zalex_ua.

[zalex_ua]

p.s. Призываю в эту тему уважаемого zalex_ua.

гм, интересный подход

Чтобы не тыкать пальцем в воздух, дайте пожалуйста сюда картинку со скриншотом вашего события, иле даже нескольких если в них разные источники, текст.
Имеется ввиду вот такое:
[ATTACH]3993[/ATTACH]

[turboon]

Скриншоты

Спасибо за оперативную реакцию

[zalex_ua]

Создаю элементы:
1. eventlog[Application,"VD 0",,"MR_MONITOR"].
Работает, но ловит некоторые не мне нужные события. Ладно, добавляю фильтр по кодам :
2. eventlog[Application,,,"MR_MONITOR",249|250|251|252]
Этот не ловит ничего..
Разбираюсь, создаю такой элемент:
3. eventlog[Application,,,,249|250|251|252]
Он работает!
Возникает вопрос - почему же не работает №2??

Данные ваших экспериментов вполне точны и их похоже достаточно, и странно почему эксперимент №2 не работает.

Единственное предположение что вы допустили ошибку в тестах. Между каждым тестом нужно подождать 3-4 минуты (кеш конфига сервера+ период обновления активных элементов агентом = 3 минуты макс) или презапустить и заббикс_севера и заббикс_агента (именно в такой последовательности.) чтобы не ждать 3 минуты.

Второй момент - а как вы заставляли агента по новому читать лог? Вы знаете что такое lastlogsize ? Умеете им оперировать вручную на уровне БД? (это "хакинг") Ознокомьтесь с этим.
Чувствую что гдето здесь у вас ошибка, или вы там во время экспериментов винты выдергиваете чтобы провоцировать события?

На всякий случай есть такой запрос - посмотрите совпадает ли у вас во всех местах "MR_MONITOR". Хотя согласно вашему эксперименту №1 все вроди нормально.

Так как имя источника у вас без пробелов то попробуйте без кавычек - может там закрался плохой символ.

Я в свое время пробовал фильтрацию по всем доступным опциональным параметрам ключа, к тому же использую глобальные регулярные выражения - все работало корректно.

Спасибо за оперативную реакцию

Сразу быстро а потом... медленно.