regulärer Ausdruck für logcheck

[serecords]

Hallo,

folgende Zeile hab ich bei logcheck unter "ignore.d.server" an "kernel" angehängt.

Code: Alles auswählen

^\w{3} [ :[:digit:]]{11} [._[:alnum:]-]+ kernel: (\\[.*?\\])(\\d+)(\\.)(\\d+).*? (announce)(\\[.*?\\])(:) (segfault) (at) (\\d+) (ip) (\\d+)((?:[a-z][a-z0-9_]*)) ((?:[a-z][a-z0-9_]*)) (\\d+)((?:[a-z][a-z0-9_]*)) (error) (\\d+) ((?:[a-z][a-z0-9_]*)) ((?:[a-z][a-z\\.\\d\\-]+)\\.(?:[a-z][a-z\\-]+))(?![\\w\\.])(\\[.*?\\])$

Dies soll diesen Eintrag maskieren:

Code: Alles auswählen

Nov 24 17:04:32 test-server kernel: [16697984.055966] announce[10959]: segfault at 4 ip 00000000f7722fc2 sp 00000000ffa27630 error 4 in ld-2.11.3.so[f7718000+1c000]

Aber das wird nicht gemacht. Kann mir jemand helfen den Ausruck zu korrigieren?

[syssi]

Erstmal: Du solltest die existierenden Dateien nicht editieren. Sie stammen aus Paketen und werden bei einem Update ueberschrieben. Die Dokumentation von logcheck empfielt, dass du lokale Ergaenzungen den Prefix "local-" gibst: local-kernel.

Und so wuerde ich die Regel formulieren.

Code: Alles auswählen

^\w{3} [ :[:digit:]]{11} [._[:alnum:]-]+ kernel:( \[ *[[:digit:]]+\.[[:digit:]]+\])? announce\[[0-9]+\]: segfault at [0-9]+ ip [0-9a-f]+ sp [0-9a-f]+ error [0-9]+ in [^[:space:]]+$

Deine Loesung sieht extrem kompliziert aus und mich wundern die vielen Escapes (\), sowie die unnoetige Klammerung.

[Cae]

Ich mag nur ungern deine RegEx von oben auseinander fuddeln, da werd' ich nur bekloppt dabei. Du kannst mit meiner (funktionierenden) Version

Code: Alles auswählen

^\w{3} [ :[:digit:]]{11} [._[:alnum:]-]+ kernel: \[[0-9. ]+\] announce\[[0-9]+\]: segfault at 4 ip [0-9a-f]+ sp [0-9a-f]+ error 4 in ld-2\.[0-9.]+\.so\[[0-9a-f+]+\]$

vergleichen; dein erster Fehler duerfte schon mal das doppelte Escapen von [ zu \\[ sein, was auf ein literales \[ matchen wuerde.

Man kann noch ueberlegen ob die 4 bei Position und error eher statisch ist oder besser durch [0-9]+ oder [0-9a-f]+ ersetzt werden sollte. Ebenso, wie weit man das aktuelle shared object matcht, wie syssi es oben tut.

Gruss Cae

[serecords]

Danke euch beiden!

Ich werde es gleich mal versuchen.

EDIT: Danke, es funktionieren beide Vorschläge.