Prometheus告警规则解析错误：Loki指标表达式用于告警时触发'|'字符解析异常问题排查

嘿，这个问题我碰到过好多次，核心原因其实是PromQL和LogQL是完全独立的两种查询语言，你把Loki专属的LogQL表达式直接放到Prometheus告警规则里，Prometheus肯定解析失败呀！

具体不兼容点拆解 #

你的表达式里有好几个LogQL独有的语法，PromQL根本不认识：

• |= "dns_auth_ns_daemon"：这是LogQL用来过滤日志内容的操作符，PromQL没有类似的日志过滤语法；
• | logfmt：LogQL里专门用来解析logfmt格式日志的管道处理命令，PromQL不支持对日志做这类解析操作；
• unwrap success：LogQL里把日志中的字段转换为数值时间序列的关键字，PromQL本身是针对预制指标查询的，没有这个转换能力。

解决思路 #

要在Prometheus里实现这个告警，你得先把Loki中的日志数据转换成Prometheus能识别的标准指标：

1. 用Promtail内置的metrics功能：在Promtail的配置里添加metrics块，把日志里的success字段转换成一个Prometheus指标（比如命名为dns_auth_ns_daemon_success），让Prometheus直接抓取这个指标；
2. 自定义exporter：写一个简单的脚本或服务，读取/home/obey/var/log/domains.metric日志文件，提取success值并暴露成Prometheus可抓取的指标；

等指标同步到Prometheus后，你就可以用标准的PromQL写告警规则了，比如：

groups:
- name: nagitics-exporter
  rules:
  - alert: DomainServed
    expr: avg_over_time(dns_auth_ns_daemon_success{filename="/home/obey/var/log/domains.metric"}[10m]) == 0
    for: 10m
    labels:
      severity: critical
    annotations:
      summary: Zone {{ $labels.hostname }} not served anymore
      description: "Zone {{ $labels.hostname }} does not return a proper authoritative NS record: {{ $labels.raw }}"

内容的提问来源于stack exchange，提问作者Tom