Historische Leistungsdaten mit sysstat: Erfassung aktivieren und zurückliegende Tage mit sar -f auslesen

Ziel

Die Hintergrunderfassung von sysstat aktivieren, damit sich die Frage «Was war gestern um 15 Uhr los?» nachträglich beantworten lässt, und die Daten anschliessend mit sar -f auslesen.

Voraussetzungen

Root-Rechte; das Paket sysstat (DEBIAN_FRONTEND=noninteractive apt-get install -y sysstat oder dnf install -y sysstat); ein Service-Manager, der einen systemd-Timer oder einen Cron-Job aktivieren kann.

Schritte

1. Den Collector prüfen: Laut Manpage von sadc ist dies das Werkzeug, das periodisch aufgerufen wird, um der Datendatei des Tages einen Messwert anzuhängen.
2. Unter Debian und Ubuntu in /etc/default/sysstat den Wert ENABLED="true" setzen (das Erfassungsskript prüft ihn und zeichnet andernfalls nichts auf) und danach systemctl enable --now sysstat ausführen. Unter RHEL 8/9 und aktuellem Fedora aktiviert systemctl enable --now sysstat die Units sysstat-collect.timer und sysstat-summary.timer, die sa1/sa2 ausführen; ältere Versionen wie RHEL 7 verwenden stattdessen /etc/cron.d/sysstat. Mit systemctl list-timers 'sysstat*' oder durch Lesen von /etc/cron.d/sysstat prüfen, welcher Mechanismus aktiv ist, statt ihn vorauszusetzen.
3. Laut Manpage von sadc liegt die Standarddatei für tägliche Systemaktivitätsdaten standardmässig im Verzeichnis /var/log/sysstat; das ist der Standard unter Debian/Ubuntu. RPM-basierte Systeme verwenden häufig /var/log/sa. Daher die tatsächliche Konfiguration des installierten Pakets prüfen, statt einen Pfad anzunehmen.
4. Mindestens ein Erfassungsintervall abwarten (üblicherweise alle 10 Minuten) oder eine Erfassung manuell auslösen: sudo /usr/lib/sysstat/sa1 1 1 unter Debian/Ubuntu, sudo /usr/lib64/sa/sa1 1 1 auf Systemen der RHEL-Familie.
5. Einen bestimmten Tag auslesen: sar -f /var/log/sysstat/sa15 (Pfad und Tagesnummer anpassen). Laut Manpage von sar extrahiert und schreibt -f zuvor in einer Datei gespeicherte Datensätze; ohne Dateiangabe wird die Standarddatei für tägliche Systemaktivitätsdaten verwendet.
6. Auf ein Zeitfenster und einen Abschnitt eingrenzen: sar -f /var/log/sysstat/sa15 -s 14:00:00 -e 15:00:00 -u für die CPU, oder -n DEV bzw. -n TCP,ETCP für die Netzwerkabschnitte, die schon beim ersten Live-Blick verwendet werden.

Erwartetes Ergebnis

Eine Datei für einen bestimmten Tag, die sich mit sar -f für jedes zurückliegende Intervall abspielen lässt, das der Aufbewahrungszeitraum noch abdeckt, ohne dass der Vorfall noch andauern muss.

Grenzen und Prüfbasis

Die Aufbewahrungsdauer wird über HISTORY in /etc/sysstat/sysstat (Debian/Ubuntu, standardmässig 7 Tage) bzw. /etc/sysconfig/sysstat (RHEL-Familie, standardmässig 28) festgelegt; dies vor dem Zugriff auf Daten des Vormonats prüfen. Die Dateien sind binär und an die Version des sysstat-Dateiformats gebunden, daher kann ein sar in einer anderen Version eine kopierte Datei ablehnen. Beim Abspielen einer Datei zeigt sar die Zeitstempel in der Ortszeit des Lesenden an; -t zeigt die ursprüngliche Ortszeit des Hosts, der die Datei geschrieben hat. Die aktivierte Erfassung verursacht einen geringen, dauerhaften Mehraufwand und belegt Speicherplatz. Zum Rückgängigmachen den Dienst bzw. den Cron-Eintrag deaktivieren (systemctl disable --now sysstat, unter Debian/Ubuntu zusätzlich ENABLED="false") und das Datenverzeichnis löschen, wenn die Historie nicht mehr benötigt wird. In beiden Fällen ist kein Neustart nötig.