Dados históricos de desempenho com sysstat: ativar a coleta e ler dias anteriores com sar -f

Objetivo

Ativar a coleta de dados em segundo plano do sysstat para que seja possível responder, depois do fato, a perguntas como "o que aconteceu ontem às 15h?", e então ler esses dados com sar -f.

Pré-requisitos

Acesso root; o pacote sysstat (DEBIAN_FRONTEND=noninteractive apt-get install -y sysstat ou dnf install -y sysstat); um gerenciador de serviços capaz de habilitar um timer do systemd ou uma tarefa do cron.

Passos

1. Confirme o coletor: o manual do sadc o descreve como a ferramenta chamada periodicamente para acrescentar uma amostra ao arquivo de dados do dia.
2. No Debian e no Ubuntu, defina ENABLED="true" em /etc/default/sysstat (o script de coleta verifica essa opção e, sem ela, não registra nada) e depois execute systemctl enable --now sysstat. No RHEL 8/9 e no Fedora atual, systemctl enable --now sysstat ativa as unidades sysstat-collect.timer e sysstat-summary.timer, que executam sa1/sa2; versões mais antigas, como o RHEL 7, usam /etc/cron.d/sysstat. Verifique com systemctl list-timers 'sysstat*' ou lendo /etc/cron.d/sysstat, em vez de presumir qualquer um dos dois mecanismos.
3. O manual do sadc afirma que, por padrão, o arquivo diário padrão de atividade do sistema fica no diretório /var/log/sysstat; esse é o padrão do Debian/Ubuntu, enquanto sistemas baseados em RPM costumam usar /var/log/sa. Por isso, confira a configuração real do pacote instalado em vez de presumir um caminho.
4. Aguarde pelo menos um intervalo de coleta (geralmente a cada 10 minutos) ou dispare um manualmente: sudo /usr/lib/sysstat/sa1 1 1 no Debian/Ubuntu, sudo /usr/lib64/sa/sa1 1 1 em sistemas da família RHEL.
5. Leia um dia específico: sar -f /var/log/sysstat/sa15 (ajuste o caminho e o número do dia). O manual do sar descreve -f como a opção que extrai e escreve registros salvos anteriormente em um arquivo, usando o arquivo diário padrão de atividade do sistema quando nenhum nome de arquivo é informado.
6. Restrinja a uma janela de tempo e a uma seção: sar -f /var/log/sysstat/sa15 -s 14:00:00 -e 15:00:00 -u para CPU, ou -n DEV / -n TCP,ETCP para as seções de rede usadas em uma primeira análise ao vivo.

Resultado esperado

Um arquivo do dia desejado que o sar -f consegue reproduzir para qualquer intervalo passado ainda coberto pela janela de retenção, sem que o incidente precise estar acontecendo no momento.

Limites e base de verificação

A retenção é definida por HISTORY em /etc/sysstat/sysstat (Debian/Ubuntu, 7 dias por padrão) ou em /etc/sysconfig/sysstat (família RHEL, 28 por padrão); confira esse valor antes de contar com dados do mês passado. Os arquivos são binários e dependem da versão do formato de arquivo do sysstat, de modo que um sar de outra versão pode recusar um arquivo copiado. Ao reproduzir um arquivo, o sar mostra os horários no fuso local de quem lê; -t mostra o horário local original do host que gravou os dados. Ativar a coleta acrescenta uma sobrecarga pequena e contínua e consome espaço em disco; para desfazer, desative o serviço ou a entrada do cron (systemctl disable --now sysstat, além de ENABLED="false" no Debian/Ubuntu) e remova o diretório de dados se o histórico não for mais necessário. Nenhuma das duas operações exige reinicialização.