Speicherplatzproblem

[tschulian]

Hallo, mein kleiner Webserver VPS läuft immer voller.

Als Übeltäter habe ich folgendes gefunden:

/var/log/wtmp 3,4G

/var/log/wtmp.1 3,0G

/var/log/proftpd/proftpd.log.1 611M

/var/log/proftpd/proftpd.log 931M

Was ist das? Kann ich das löschen?

Die Proftpd.logs kenne ich, aber wie sieht es mit den wtmp aus?

Bearbeitet 20. August 2015 von tschulian

[carstenj]

Hi,

das sind Logfiles. In die proftpd.log kannst du reingucken, das ist plaintext, und in der wtmp stehen die letzten Benutzer drin. So wie es aussieht, werden diese auch gelegentlich rotiert (das erkennt man an der .1 am Ende). Aber je nach Einstellung scheint das nicht optimal zu sein, denn offenbar werden diese recht groß.

Löschen kannst du zumindest die mit der .1 am Ende. Aber du solltest auf jeden Fall mal schauen, was da so passiert, denn diese Dateien erscheinen mir schon außergewöhnlich groß für ein kleines System.

[tschulian]

Ich hatte in meiner proftpd.conf folgendes aktiv:

WtmpLog on

Ich denke das hat die wtmp so zugemüllt. Die Proftpd logs waren ja auch recht groß.

Auf dem VPS läuft nur ein Webserver und ein FTP Server. Beide sind nur von einer IP aus erreichbar. Das heißt Fremdzugriffe sind ausgeschlossen.

[carstenj]

Hi,

was gibt denn das Kommando "last | wc -l" aus?

Bei uns auf einem Produktivserver sind es 420 Zeilen, die Datei ist 368K groß und existiert seit Dezember 2011.

[tschulian]

Also da der Befehl jetzt schon 2 Minuten arbeitet komme ich definitiv über 420 Zeilen.

Was genau ist " last | wc -l "

EDIT: Also es wird garnichts angezeigt.

Bei einem neuerem System werden direkt 25 ausgegeben.

Bei dem betroffenem System rödelt er und zeigt auch nach 5 Minuten noch nix an.

Bearbeitet 20. August 2015 von tschulian

[carstenj]

Hi,

last gibt aus, welche Benutzer zuletzt angemeldet waren, das | (Pipe) Zeichen übergibt die Ausgabe dieses Befehls an den nächsten (wc -l), welcher wiederum die Zeilen ausgibt, die das erste Kommando zurückgibt.

Also kurz: Wie viele Benutzer zuletzt (d.h. seitdem diese wtmp Datei vorhanden ist) angemeldet waren.

[tschulian]

Hi,

last gibt aus, welche Benutzer zuletzt angemeldet waren, das | (Pipe) Zeichen übergibt die Ausgabe dieses Befehls an den nächsten (wc -l), welcher wiederum die Zeilen ausgibt, die das erste Kommando zurückgibt.

Also kurz: Wie viele Benutzer zuletzt (d.h. seitdem diese wtmp Datei vorhanden ist) angemeldet waren.

Okay danke. Dann kann das leicht hunderttausende Lines kommen. Der FTP wird mehr als viel genutzt.... Und wenn proftdp da alles reingeloggt hat, wundert mich nichts, weshalb die Festplatte fast vollgelaufen ist.

Habe jetzt das Logging (was sowieso nur zu Diagnosezwecken beim einrichten Sinnvoll wäre) in proftpd komplett ausgeschalten.

Ist das Plausible das die Datei so riesig wird wegen den zusätzlichen Logeinträgen die proftpd in die wtmp schreibt?

[carstenj]

Hi,

würde ich mal vermuten, aber wie intensiv der Server benutzt wird müsstest du selber wissen. Wenn da viel los ist, wird natürlich auch viel geloggt. Wenn du einfach nur "last" eingibst, siehst du ja, wer sich wie lange von wo angemeldet hat.

Sollten da Einträge bei sein, die du nicht nachvollziehen kannst, würde ich weiter forschen. Alternativ eben Logrotate entsprechend so konfigurieren, dass die Datei(en) nicht so groß werden. Je nach Anforderungen kann man Dateien ja auch automatisch löschen, aber das hängt von mehreren (u.a. auch rechtlichen) Faktoren ab.

Wenn nicht gerade Platzprobleme herrschen, würde ich Logdateien schon mindestens eine Woche aufbewahren, damit man auch rückwirkend Probleme analysieren kann.

Weiterhin würde ich, statt das Logging ganz auszuschalten, den Loglevel runterdrehen. Ich kenne proftp nicht, aber vermutlich wird man da auch einstellen können, dass der nur wirkliche Fehler rausschreibt. Die Menge sollte sich, eine vernünftige Konfiguration vorausgesetzt, eher in Grenzen halten.

[tschulian]

Hi,

last gibt aus, welche Benutzer zuletzt angemeldet waren, das | (Pipe) Zeichen übergibt die Ausgabe dieses Befehls an den nächsten (wc -l), welcher wiederum die Zeilen ausgibt, die das erste Kommando zurückgibt.

Also kurz: Wie viele Benutzer zuletzt (d.h. seitdem diese wtmp Datei vorhanden ist) angemeldet waren.

Okay danke. Dann kann das leicht hunderttausende Lines kommen. Der FTP wird mehr als viel genutzt.... Und wenn proftdp da alles reingeloggt hat, wundert mich nichts, weshalb die Festplatte fast vollgelaufen ist.

Habe jetzt das Logging (was sowieso nur zu Diagnosezwecken beim einrichten Sinnvoll wäre) in proftpd komplett ausgeschalten.

Ist das Plausible das die Datei so riesig wird wegen den zusätzlichen Logeinträgen die proftpd in die wtmp schreibt?

Also wenn ich last eingebe kommt das:

Bild entfernt. CW

Ich denk das erklärt das...

ftpuser hat nur readonly access.

Es sind viele kleine Daten alle unter 500kb auf dem FTP Server. Aber diese werden halt sehr sehr sehr sehr oft angefragt.

Bearbeitet 20. August 2015 von Chief Wiggum

[feuerjinn]

Ich bin da nicht froh drüber, dass der Screenshot aktuelle Echt-IP's beinhaltet, dass solltest du bitte maskieren.

[Chief Wiggum]

Erstens: feuerjinn hat mit seinen Bedenken recht. Bild entfernt.

Zweitens: Logfiles in Plaintext als Bild einzustellen ist auch suboptimal.

[lilith2k3]

Erstens: feuerjinn hat mit seinen Bedenken recht. Bild entfernt.

Zweitens: Logfiles in Plaintext als Bild einzustellen ist auch suboptimal.

Man sollte sie zumindest in ein Word-Dokument packen

*SCNR*

[tschulian]

Oh, sorry. Okay. Das Problem lag tatsächlich an den vielen FTP Logs.

Der FTP Server von mir überträgt an ca. 150-500 Users im Sekundentakt ca. 60 Files á 1-5kb. Und jede Transaktion war ein Logeintrag....