如何用Zabbix监控不同应用路径下日志文件的大小增长并告警？

刚碰到过类似的需求，给你一套完整的实现方案，针对不同应用的动态日志路径，咱们用Zabbix的自动发现+监控项/触发器原型来搞定，步骤如下：

1. 先配置自动发现规则（识别所有应用目录） #

因为你的日志路径里[foo]是动态的应用名称，首先得让Zabbix自动识别d:\data下的所有子目录（也就是各个foo应用）：

• 进入Zabbix Web界面，找到对应的主机（或模板），创建自动发现规则
  • 名称：比如Discover App Log Directories
  • 类型：Zabbix Agent
  • 键值：vfs.dir.discovery[d:\data]
  • 更新间隔：根据应用新增频率设置，比如1小时（3600秒）
  • 过滤器：如果需要排除某些非应用目录，可以加过滤器，比如只保留名称符合特定规则的目录

这个规则会自动发现d:\data下的所有子目录，每个目录会生成一个宏{#DIRNAME}，对应你的foo应用名。

2. 创建监控项原型（采集每个应用的日志文件大小） #

基于自动发现的结果，创建监控项原型，动态获取每个应用的server.log文件大小：

• 在同一个主机/模板下，创建监控项原型
  • 名称：Log File Size - {#DIRNAME}
  • 类型：Zabbix Agent
  • 键值：vfs.file.size[d:\data\{#DIRNAME}\data\log\server.log]
  • 更新间隔：根据监控精度需求，比如5分钟（300秒）
  • 类型信息：数值（浮点），单位选字节或MB（方便查看）
  • 存储值：选原样存储（后续触发器会基于原始值计算增量）

这样Zabbix会为每个发现的应用自动创建对应的监控项，实时采集日志文件大小。

3. 配置触发器原型（监控增长过快并告警） #

接下来设置触发器原型，当日志大小在指定时间内增长超过阈值时触发告警：

• 创建触发器原型
  • 名称：Log file {#DIRNAME} is growing too fast
  • 表达式：举个例子，如果要监控1小时内增长超过1GB，表达式写：

    {YourTemplateName:vfs.file.size[d:\data\{#DIRNAME}\data\log\server.log].change(3600)}>1073741824
    

    • 解释：change(3600)计算当前值与3600秒（1小时）前的值的差值，大于1GB（1073741824字节）就触发
  • 调整阈值：根据你的业务需求修改，比如10分钟内增长500MB，就把3600改成600，阈值改成524288000
  • 严重性：根据告警级别设为警告/严重
  • 恢复表达式：可以设置当增量回到正常范围后恢复，比如：

    {YourTemplateName:vfs.file.size[d:\data\{#DIRNAME}\data\log\server.log].change(3600)}<=1073741824
    

4. Zabbix Agent权限及配置检查 #

别忘了确保Agent能正常访问日志文件：

• 运行Zabbix Agent的Windows用户，需要有d:\data目录下所有子目录及server.log文件的读取权限
• 如果你的Zabbix Agent版本较旧，确认vfs.dir.discovery和vfs.file.size这两个内置key是启用的（默认是启用的，不需要额外配置）

5. 测试验证 #

最后做个简单测试确保没问题：

1. 手动触发自动发现规则，查看是否识别到所有应用目录
2. 查看监控项是否正常采集到文件大小数据
3. 手动往某个server.log里写入大量数据，验证触发器是否触发告警

额外注意点 #

• 如果日志文件会被轮转（比如每日归档旧日志，生成新的server.log），可以考虑监控目录下所有日志文件的总大小，把监控项的键值改成vfs.dir.size[d:\data\{#DIRNAME}\data\log]，然后触发器计算目录大小的增量
• 阈值设置要结合业务实际，先观察几天正常情况下的日志增长速度，再设置合理的告警阈值，避免误告警

内容的提问来源于stack exchange，提问作者user3511320