怎样分析openbsd中 newsyslog生成的日志文件？

ioerr

openbsd 4.2，使用newsyslog生成pf的日志文件pflog5.gz，怎样分析它？我打算用perl对其进行处理的。

现在我的方法：
gzip解压，然后使用tcpdump -r filename >log.txt;巨慢 ！！！！！！！！！！哪位有好的方法，谢谢了！

ioerr

上午用我自己的办法，导出日志，从11：00一直到下午2：30左右才完成一个200M的，可以一共有60个，天呀，这得多长时间啊，高手来帮忙啊。

刚才试图用wireshark打开日志文件，结果wireshark崩溃了，what shall I do？

继续diy and search...

ioerr

看了看changelog，08年最后更新了，不知道楼上的兄弟用过么？分析日志怎样，我看见个软件awstats，能生成图像，挺漂亮，就是还不知道适合pf不。

我想pf生成的是tcpdump的文件，应该比较普遍的，会有不少工具能用。

先谢谢了，看看去。

ioerr

搜索半天，还没有头绪，郁闷中...

ioerr

congli版主，你害了我，www。我按照你的指示想开启soft-update，搜啊搜，
看了cu另一篇改进openbsd磁盘性能的文章，自己想试试，于是悲剧开始了...

先修改了fstab，原来为：
/dev/wd0a ffs rw 1 1
修改为：
/dev/wd0a ffs rw,softdep 1 1(参考自openbsd faq “14.5 - Soft Updates”)

重启，提示：  Read-only file system，我***

意识到修改出问题了，想改回去，发现所有文件分区都不能写了，晕！！！

历经一上午，在网上google了很多方法，都不行，急死了，幸好这是备份防火墙，要不我死了我。最后cu搜fstab关键字，栽这个沟里的还真是大有人在啊，高兴ing，幸灾乐祸ing，呵呵，看见了congli版主给一个人的回复，尝试下，竟然ok了，过程如下：

用openbsd的安装盘启动，进入shell，然后把原来的硬盘挂上，进入原来的/etc目录,找到fstab,发现没有vi，又晕！！！幸好有 echo，于是cp 备份一个fstab，echo /dev/wd0a ffs rw 1 1>fstab.重启，ok！

万岁！快下班了，打僵尸去，呵呵！！！

总结：

• 基础不牢，mount都不熟，还需要好好打基础啊；
• 那篇提升性能的文章提示过，/可能不能用soft-update，看来真不行啊，更可气的是，我安装ob的时候懒，就一个分区/，没法soft-update了。
• 安装盘还有修复的用途，good！
• 奇怪的是为什么最后没有vi用，怪！！！
• *nix的fstab还是不要动吧
• congli害了我又救了我

ioerr

我用一个blogbench试了下，finalwrite 44M，正常么？也不会因为这个写速度而导致我tcpdump日志慢成这个样子吧？？？

ioerr

版主有令，我实验成功再来发个。

不过你还是得提示我下，那个1楼我说的200M日志怎么分析合适，newsyslog生成的。

ioerr

softupdate测试结果：
硬盘性能测试软件：
blogbench；

系统：
ob4.2 on vm5.0 ，装在我的台式机上，p4 3.0+1G DDR+IDE 7200rpm；
主防火墙 ob4.2，SCSI；
备防火墙 ob4.5，IDE 3600rpm；

softupdate开启前后
-------------------------------------------------
host                pre                      post                        测试用path
vm                 w=24；r=3056       w=110；r=1510         /mnt
fwmaster        w=35；r=3702       w=48；r=2749           /var/blogtest/
fwbk              w=17；r=1970        w=18；r=1484           /mnt


测试结果分析：
openbsd中 / 分区能启用softupdate，除了主firewall都试了，没问题。上次我失败估计是打错关键字了，可惜罪证消失，没法查证了。
感觉启用前后确实有变化，写入速度提高不少，但是读取速度却降低了不少，原因懒得查了，是否启用大家各取所需吧。
有意思的是虚拟机中咋性能这么好呢？？？特别是启用softupdate之后，我都不敢相信我的眼睛了。
因为每次测试只做一次（还是一个懒字），没有再验证。

我得紧着写领导交代的计划，还有赶紧办其它的事。哪位有兴趣也试试吧。

再补充一句，我的日志怎么分析哪位提个醒啊，感激不尽了，哪怕几个关键字也好，谢谢了