Logwatch решава задача, която иначе изобщо не се решава: чете вместо вас всички журнали на сървъра и изпраща извадка за денонощието. Никой не преглежда ежедневно auth.log и журналите на уеб сървъра, а да се прочете едно писмо сутрин е изпълнимо.

Проблемът е известен: първото писмо идва с няколкостотин реда, второто се преглежда по диагонал, след седмица правило в пощата ги праща в отделна папка и с това наблюдението свършва. Причината почти винаги е в настройките по подразбиране и се поправя за десет минути.

Инсталиране и къде се променят настройките

sudo apt install logwatch

Важно е къде да пишете своите стойности. Файлът /usr/share/logwatch/default.conf/logwatch.conf не бива да се пипа — презаписва се при обновяване на пакета. Вашият файл е /etc/logwatch/conf/logwatch.conf. Може да е празен, достатъчно е да добавите в него само това, което променяте.

Output = mail
Format = html
MailTo = admin@example.com
Detail = Low
Range = yesterday

Нивото на подробност решава всичко

Detail приема стойности от 0 до 10 или думите Low, Med, High. Разликата е огромна: при High отчетът включва всяка връзка и всяка заявка, при Low — само обобщени числа и отклонения.

Практиката е такава: общо ниво Low, а подробността се повишава точково за онези услуги, които наистина ви интересуват. Настройките на отделните услуги се слагат в /etc/logwatch/conf/services/ — например файл sshd.conf с реда Detail = High.

Ориентир за проверка: отчетът трябва да се побира на около екран-екран и половина. Всичко по-дълго ще спре да се чете — не от мързел, а защото сред триста реда рутина отклонението не се вижда.

Вижте резултата, без да чакате сутринта:

sudo logwatch --detail Low --range today --output stdout

Празен раздел за SSH на Debian 12

Отделен капан на новите системи. Logwatch чете текстови файлове в /var/log, а Debian 12 и Ubuntu 24.04 вече не инсталират rsyslog по подразбиране — файлът /var/log/auth.log просто го няма, всичко отива в журнала на systemd. Отчетът при това идва изрядно, но най-нужният раздел — за влизанията по SSH — се оказва празен или липсва.

Проверката отнема секунда:

ls -l /var/log/auth.log

Няма файл — или инсталираме rsyslog, или приемаме, че Logwatch на тази машина показва непълна картина. Празен раздел лесно се приема за „нищо не се е случило“ и това е най-опасната последица.

Къде отива писмото

Втората честа причина „отчетите не идват“: на сървъра няма настроено изпращане на поща. Logwatch предава писмото на системния агент, той не го изпраща никъде и то остава в локалната кутия на root, където никой не наднича:

sudo cat /var/mail/root | tail -50

Вариантите са два. Или да се настрои изпращане през външен SMTP препредавач, или изобщо да не се ползва поща и отчетът да се слага във файл:

Output = file
Filename = /var/log/logwatch/report.txt

Вторият вариант е по-честен: писмо, което няма кой да достави, създава илюзия за наблюдение, а файл на диска поне може да се отвори.

Какво да се чете в отчета

В намаляващ ред по полезност:

  • sshd. Успешните влизания — кой и откъде. Точно успешните, а не хилядите неуспешни: неуспешните са фон, а влизане от непознат адрес изисква обяснение;
  • sudo и pam_unix. Кой е повишавал права и е създавал потребители;
  • Disk Space. Един ред, който предупреждава предварително за запълване на диска;
  • cron. Появилите се задачи и тези, които са завършили с грешка;
  • http. Скок на отговорите 404 обикновено означава търсене на пътища, скок на 500 — че нещо се е счупило при вас;
  • postfix, ако сървърът изпраща поща: растежът на изходящата опашка е типичен признак, че сървърът е започнал да се използва за разпращане.

Граници на приложимост

Logwatch е обобщение за изминалото денонощие, а не известие. Той няма да ви събуди през нощта и по определение изостава: стартира се от ежедневна задача към сутринта и разглежда вчерашния ден. За „нещо се случва точно сега“ не става и не е предназначен.

Силата му е в друго — показва формата на обикновения ден. След месец четене знаете колко неуспешни влизания имате в норма, колко заявки идват на сайта и колко писма излизат; и когато едно от тези числа се промени двойно, това се вижда веднага, без никакви прагове и правила. Точно затова има смисъл отчетът да се държи там, където се набива на очи, а не в пощенска папка. Как изглежда това на страница, показва демонстрацията по-долу.