Datos históricos de rendimiento con sysstat: activar la recopilación y consultar días pasados con sar -f

Objetivo

Activar la recopilación de datos en segundo plano de sysstat para poder responder a posteriori preguntas como «¿qué pasó ayer a las 3 de la tarde?» y luego leer esos datos con sar -f.

Requisitos previos

Acceso root; el paquete sysstat (DEBIAN_FRONTEND=noninteractive apt-get install -y sysstat o dnf install -y sysstat); un gestor de servicios capaz de habilitar un temporizador de systemd o una tarea de cron.

Pasos

1. Confirma cuál es el recopilador: el manual de sadc lo describe como la herramienta que se invoca periódicamente para añadir una muestra al archivo de datos del día.
2. En Debian y Ubuntu, establece ENABLED="true" en /etc/default/sysstat (el script de recopilación lo comprueba y, si no está activado, no registra nada) y después ejecuta systemctl enable --now sysstat. En RHEL 8/9 y en las versiones actuales de Fedora, systemctl enable --now sysstat activa las unidades sysstat-collect.timer y sysstat-summary.timer, que ejecutan sa1/sa2; las versiones anteriores, como RHEL 7, usan en su lugar /etc/cron.d/sysstat. Verifica con systemctl list-timers 'sysstat*' o leyendo /etc/cron.d/sysstat, en lugar de dar por supuesto uno u otro mecanismo.
3. El manual de sadc indica que, por defecto, el archivo estándar de datos diarios de actividad del sistema se encuentra en el directorio /var/log/sysstat; esa es la ubicación predeterminada en Debian/Ubuntu, mientras que los sistemas basados en RPM suelen usar /var/log/sa. Comprueba la configuración real del paquete instalado en lugar de suponer una ruta.
4. Espera al menos un intervalo de recopilación (habitualmente cada 10 minutos) o lanza uno manualmente: sudo /usr/lib/sysstat/sa1 1 1 en Debian/Ubuntu, sudo /usr/lib64/sa/sa1 1 1 en la familia RHEL.
5. Lee un día concreto: sar -f /var/log/sysstat/sa15 (ajusta la ruta y el número de día). El manual de sar describe -f como la opción que extrae y escribe los registros guardados previamente en un archivo; si no se indica un nombre de archivo, usa por defecto el archivo estándar de datos diarios de actividad del sistema.
6. Acota por ventana de tiempo y por sección: sar -f /var/log/sysstat/sa15 -s 14:00:00 -e 15:00:00 -u para la CPU, o -n DEV / -n TCP,ETCP para las secciones de red que se usan en una primera inspección en vivo.

Resultado esperado

Un archivo de un día concreto que sar -f puede reproducir para cualquier intervalo pasado dentro del periodo de retención, sin necesidad de que el incidente siga ocurriendo.

Límites y base de verificación

La retención se define con HISTORY en /etc/sysstat/sysstat (Debian/Ubuntu, 7 días por defecto) o en /etc/sysconfig/sysstat (familia RHEL, 28 por defecto); compruébala antes de confiar en datos del mes pasado. Los archivos son binarios y dependen de la versión del formato de archivo de sysstat, por lo que un sar de otra versión puede rechazar un archivo copiado. Al reproducir un archivo, sar muestra las marcas de tiempo en la hora local de quien lo lee; -t muestra la hora local original del host que lo escribió. Activar la recopilación añade una sobrecarga pequeña y continua, además de uso de disco; para revertirlo, desactiva el servicio o la entrada de cron (systemctl disable --now sysstat, y además ENABLED="false" en Debian/Ubuntu) y elimina el directorio de datos si ya no quieres conservar el historial. En ningún caso es necesario reiniciar.