Дублирование записей в последних данных log/logrt

[Igor Korobkov]

Добрый день!
Почему происходит дублирование записей в последних данных при мониторинге журнала?
Например,
Ключ: log["/var/log/^secure$",,,100,skip]
Интервал обновления: 3s
Последние данные:
07.10.2019 12:42:56 Oct 7 12:42:54 server-name sudo: pam_unix(sudo:session): session closed for user root
07.10.2019 12:42:56 Oct 7 12:42:54 server-name su: pam_unix(su:session): session closed for user root
07.10.2019 12:42:56 Oct 7 12:42:54 server-name sudo: pam_unix(sudo:session): session closed for user root
07.10.2019 12:42:56 Oct 7 12:42:54 server-name su: pam_unix(su:session): session closed for user root

BufferSend, BufferSize дефолтные

[Kos]

Потому что агент по какой-то причине считает, что файл поменялся и его надо перечитать с самого начала. В документации описываются случаи, когда это должно происходить штатным образом.
Но у вас, по-видимому, что-то идёт нештатно. Например, это может происходить из-за того, что первым параметром ключа метрики log[...] передаётся не фиксированная строка с именем файла (как это должно быть), а регулярное выражение (что допустимо для метрики logrt[...], но не для log[...]).
Чтобы ответить более детально, надо иметь больше данных - знать версию используемого агента и тип используемой файловой системы, а также видеть лог агента с включённой опцией DebugLevel=4.

[Igor Korobkov]

Спасибо, буду дебажить. Регулярка у меня была только для logrt, скопипастил не то . Версия агента 4.2.6, FS - xfs