Получение данных журнала Windows Eventlog

[ddenk]

Доброго времени суток коллеги.

Согластно статьи: https://znil.net/index.php?title=Zab...ndows_Eventlog
Созданые итемсы для мониторинга ошибок серверов, работает на нескольких серверах но по разному.
Созданный шаблон прикрепил.

К примеру, есть итемс с ключем: eventlog[System,,"Warning|Error|Critical",,,,skip]
Как я его понимаю должны собираться только новые сообщения после подключения к серверу, это указывает параметр skip.
В результате я получаю на одном только новые данные с момента подключения итмса а на другом сервере получаю все сообщения с момента создания сервера.

Настройки агента Zabbix одинаковые.

Куда копать не могу понять , подскажите кто сталкивался.
Настройки агента тоже приложил.

[Kos]

Параметр skip играет роль только при создании нового айтема, когда он добавляется к хосту. Тогда он, действительно, указывает, надо ли пересылать на сервер все события из лога с самого начала, либо же включаться только сейчас и начинать слать лишь те, которые придут потом. В веб-интерфейсе этого нигде не видно, но агент использует некоторый счётчик, фактически - указатель на последнее обработанное сообщение, чтобы знать, с какого места начинать просмотр в следующий раз. Значение этого счётчика регуляно обновляется и сохраняется на сервере Zabbix, чтобы агент мог корректно обработать новые сообщения после рестарта самого агента.

Так вот, параметр skip играет роль только для новых айтемов, для которых на сервере ещё никакого значения не сохранено. В дальнейшем, в любом случае, используется этот счётчик. Соответственно, полный лог может быть перечитан с самого начала в том случае, когда соответствующего этому счётчику сообщения в логе не найдено. Это может быть, например, в следующих ситуациях:

• агент работает на виртуальной машине, которую откатили на снапшот;
• агент был выключен долгое время, либо айтем был отключен (disabled) долгое время, и за это время произошла ротация лога (старое сообщение уже исчезло).

Наверное, можно придумать ещё какие-то ситуации.

[ddenk]

"Параметр skip играет роль только при создании нового айтема" - так и есть я создал новый Item но получаю данные с другого момента, загружается весь журнал.
После перезагрузке сервера может все повториться, данные загружаются все снова. В резултате сыпется большое количество спама.

[Kos]

Не надо, пожалуйста, делать комментарии внутри моей реплики - их почти никому не видно, если только явно не заглянуть в это место. Лучше писать отдельной репликой.

Самое простое при такой проблеме - это просто пересоздать проблемный айтем. Удалить его совсем и создать заново. Это труднее сделать, если айтем наследуется от шаблона; в этом случае надо: 1) отсоединить шаблон без очистки (т.е. просто "Unlink", а не "Unlink and clear"); 2) удалить проблемный айтем; 3) присоединить шаблон обратно.

[ddenk]

Хорошо, спасибо. Буду пробовать.