zabbix触发器表达式详解(33)

  • A+
所属分类:zabbix

概述

触发器中的表达式使用很灵活,我们可以创建一个复杂的逻辑测试监控,触发器表达式形式如下:

{主机:key.函数(参数)}<表达式>常数,具体的例子,请接着往下走,很简单

Functions函数

触发器functions可以引用检索到的值,当前时间或者其他元素。触发器表达式支持的function完整列表请点击官网地址 supported functions

Function参数

大多数数值functions可以使用秒来作为参数。你可以使用前缀“#”来表示它有不同的含义

FUNCTION CALL 描述
sum(600) 600秒内的总和
sum(#5) 最新5个值的和

last函数使用不同的参数将会得到不同的值,#2表示倒数第二新的数据。例入从老到最新值为1,2,3,4,5,6,7,8,9,10,last(#2)得到的值为9,last(#9)得到的值为2。last函数必须包含参数。
AVG,count,last,min和max函数还支持额外的参数,以秒为单位的参数time_shift(时间偏移量)。例如avg(1h,1d),那么将会获取到昨天的1小时内的平均数据。

[warning]备注:触发器表达式需要使用history历史数据来计算,如果history不可用(time_shift时间偏移量参数无法使用),因此history记录一定要保留长久一点,至少要保留需要用的记录。[/warning]
触发器表达式可以使用单位符号来替代大数字,例如5m替代300,或者1d替代86400,1k替代1024字节等等。

操作符

优先级 操作 定义
1 /
2 *
3 -
4 +
5 < 小于. 用法如下:
A<B ⇔ (A<=B-0.000001)
6 > 大于. 用法如下:
A>B ⇔ (A>=B+0.000001)
7 # 不等于.用法如下:
A#B ⇔ (A<=B-0.000001) | (A>=B+0.000001)
8 = 等于. T用法如下:
A=B ⇔ (A>B-0.000001) & (A<B+0.000001)
9 & 逻辑与
10 | 逻辑或

 

 

 

触发器示例

示例一

触发器名称:Processor load is too high on www.zabbix.com

触发器说明:

www.zabbix.com:host名称

system.cpu.load[all,avg1]:item值,一分内cpu平均负载值

last(0):最新值

>5:最新值大于5

如上所示,www.zabbix.com这个主机的监控项,最新的CPU负载值如果大于5,那么表达式会返回true,这样一来触发器状态就改变为“problem”了。

示例二

触发器名称:www.zabbix.com is overloaded

当前cpu负载大于5或者最近10分内的cpu负载大于2,那么表达式将会返回true.

示例三

触发器名称:/etc/passwd has been changed

使用函数 diff():

/etc/passwd最新的checksum与上一次获取到的checksum不同,表达式将会返回true. 我们可以使用同样的方法监控系统重要的配置文件,例如/etc/passwd,/etc/inetd.conf等等。这些zabbix一般都会自带,没带的你自己加上吧。

示例四

触发器名称:Someone is downloading a large file from the Internet

使用函数 min:

当前主机网卡eth0最后5分钟内接收到的流量超过100KB那么触发器表达式将会返回true

示例五

触发器名称:Both nodes of clustered SMTP server are down

当smtp1.zabbix.com和smtp2.zabbix.com两台主机上的SMTP服务器都离线,表达式将会返回true.

示例六

触发器名称:Zabbix agent needs to be upgraded

使用函数str():

如果当前zabbix agent版本包含beta8(假设当前版本为1.0beta8),这个表达式会返回true.

示例七

触发器名称:Server is unreachable

如上表达式表示最近30分钟zabbix.zabbix.com这个主机超过5次不可到达。

示例八

触发器名称:No heartbeats within last 3 minutes

使用函数 nodata():

tick为Zabbix trapper类型,首先我们要定义一个类型为Zabbix trapper,key为tick的item。我们使用zabbix_sender定期发送数据给tick,如果在3分钟内还未收到zabbix_sender发送来的数据,那么表达式返回一个true,与此同时触发器的值变为“PROBLEM”。

示例九

触发器名称:CPU activity at night time

使用函数 time():

只有在凌晨0点到6点整,最近5分钟内cpu负载大于2,表达式返回true,触发器的状态变更为“problem”

示例十

触发器名称:Check if client local time is in sync with Zabbix server time

使用函数 fuzzytime():

主机MySQL_DB当前服务器时间如果与zabbix server之间的时间相差10秒以上,表达式返回true,触发器状态改变为“problem”

示例十一

触发器名称:Comparing average load today with average load of the same time yesterday (使用 time_shift 时间偏移量参数).

This expression will fire if the average load of the last hour tops the average load of the same hour yesterday more than two times.

Hysteresis(迟滞,滞后)

简单的说触发器状态转变为problem需要一个条件,从problem转变回来还需要一个条件才行。一般触发器只需要不满足触发器为problem条件即可恢复。明白了么?不明白就看例子吧。
有时候触发器需要使用不同的条件来表示不同的状态,举个官网很有趣的例子:机房温度正常稳定为15-20°,当温度超过20°,触发器值为problem,直到温度低于15°才会接触警报,异常会解除。别整这些没用的,我们看实例.

为了达到这个效果,我们需要使用如下触发器表达式:

示例1

触发器名称:Temperature in server room is too high

如上有两个小括号,前面一个表示触发异常的条件,后面一个表达式表示解除异常的条件。

注意:宏变量 {TRIGGER.VALUE}将会返回当前触发器的值

示例2

触发器名称:Free disk space is too low

Problem: 最近5分钟剩余磁盘空间小于10GB。(异常)

Recovery: 最近10分钟磁盘空间大于40GB。(恢复)

简单说便是一旦剩余空间小于10G就触发异常,然后接下来剩余空间必须大于40G才能解除这个异常,就算你剩余空间达到了39G(不在报警条件里)那也是没用的,有意思不!

 

结尾

这篇文章很有必要细细读,很重要。喜欢ttlsa和zabbix兄弟们请继续关注我们运维生存时间。

weinxin
微信公众号
扫一扫关注运维生存时间公众号,获取最新技术文章~

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen:

目前评论:26   其中:访客  24   博主  0   引用   2

    • 小于 9

      楼主,你好,我想请教个问题!
      监控项结果中包含”mode”关键词(注意头尾双引号要带上),且该关键词后面不能包含ReadWrite
      满足以上条件时报警,我的触发器表达式是这么写的,如下:
      iregexp(“\”mode\”(?!.*ReadWrite).*”)}=1
      但是zabbix始终不报警,不知道什么原因!
      原生的正则表达式形式为:”mode\”(?!.*ReadWrite).*
      但是,我把它整合到触发器的iregexp函数中,就不工作了。

      • 小羽 9

        楼主,你好,我想请教个问题!
        监控项结果中包含”mode”关键词(注意头尾双引号要带上),且该关键词后面不能包含ReadWrite
        满足以上条件时报警,我的触发器表达式是这么写的,如下:
        iregexp(“\”mode\”(?!.*ReadWrite).*”)}=1
        但是zabbix始终不报警,不知道什么原因!
        原生的正则表达式形式为:”mode\”(?!.*ReadWrite).*
        但是,我把它整合到触发器的iregexp函数中,就不工作了。

        • 网络设备监控问题 1

          zabbix3 通过Template SNMP Interfaces生成交换机端口信息的,可惜没有自带trigger模版
          求助楼主,怎么根据交换机10G、40G接口做自动生成80%流量的trigger?
          或者有没有用百分比的写法?

          • 我叫西红柿 9

            ({TRIGGER.VALUE}=1<40G) 不好意思问下楼主,这里有点看不懂 不是应该大于40G恢复吗 为什么这里是小于号

              • SHDL 9

                @我叫西红柿 同问此处。然后想问一下min(10m)是最近10分钟,那么max(5m)要怎么理解呀?

                  • 我叫西红柿 9

                    @SHDL min(10m)应该是最近10分钟最小值,max(5m)应该是最近5分钟的最大值

                  • 匿名 9

                    @我叫西红柿 好文,但有个疑惑,按照个人对前文理解,这里“0对应<10G),1对应<40G ”有点问题,我个人觉得是这样的:“1对应 40G)” , 请楼主帮忙答惑哈

                  • 戴俊杰 9

                    我提个问题,有时候监控报警由于延迟或者网络别的原因造成平凡误报,所以我想达到这样要求,最后3次取值,就等于检查3次都满足条件才报警,这样准确点,trigger表达式是不是这样写:
                    {监控项.last(#1)}=条件 and {监控项.last(#2)}=条件 and {监控项.last(#3)}=条件
                    或者还有什么比较简洁的写法

                    • 热心网友 9

                      last(#5)那里应该是sum(#5)

                      • 运维生存时间网友 9

                        错别字太多了,而且上下文都不对应的。上面说的Function,下面又开始说LAST函数了。

                        • 匿名 9

                          错别字太多了,而且上下文都不对应的。上面说的Function,下面又开始说LAST函数了。

                            • 管理员 6

                              @匿名 last(#5)写成了sum(#5),一万多浏览,只有你发现,谢谢!

                            • jai 0

                              举个官网很有趣的例子:机房温度正常稳定为15-20°,当温度超过20°,触发器值为problem,当问题到了15°与20°之间,异常会解除。
                              ——————————–
                              这种解释是否有误?纯探讨
                              For example, we would like to define a trigger which would become PROBLEM when server room temperature is higher than 20C while it should stay in the state until temperature will not become lower than 15C.
                              我看官网的意思应该是当“当温度大于20度的时候,状态改为problem,当温度不低于15的时候,保持这个状态(problem)”
                              亦即,触发器为0k时,大于20度,报警;触发器为problem,低于15度解除报警,否则,大于15,保持problem。

                              经我们测试验证,我的理解如上,不知是否正确,请指正。

                              • recoman 9

                                如果我要定义CPU负载大于2小于5时报严重,大于5时报灾难,触发器怎么设定

                                  • 凉白开 9

                                    @recoman 分别写两个触发器~

                                  • Jisure-Y 9

                                    说真的,楼主写的不错,可是白字挺多

                                    • Aceslup 9

                                      期待更新呢。

                                      • 管理员 6

                                        fandami :

                                        这里是不是有误呢 ?

                                        sum(#5)倒数第五5个值

                                        ==> sum(#5)倒数(最新)5个值的和

                                        @fandami

                                        谢谢,已经修正

                                        • fandami 9

                                          这里是不是有误呢 ?

                                          sum(#5) 倒数第五5个值

                                          ==> sum(#5) 倒数(最新)5个值的和

                                        • 来自外部的引用: 2

                                          • 资料分享:跟着ttlsa一起学zabbix监控 – memleak.in | memleak.in
                                          • 跟着ttlsa一起学zabbix监控呗 | 运维笔记