disk space 109%

[goudduif]

Goedendag,
Na enkele jaren psfense,  wil ik wel eens de overstap naar Opnsense maken.
Heb het op een ssd van 118GB geïnstalleerd. binnen twee dagen was mijn disk vol.
De flow.log was meer dan 15GB die heb ik gelijk maar verwijderd. Als ik nu een

Code: [Select]

# du -mah | sort -rh | head -n 20
1.6G    .
1.4G    ./usr
629M    ./usr/bin
609M    ./usr/local
374M    ./usr/local/lib
185M    ./usr/local/lib/python3.7
130M    ./boot
125M    ./boot/kernel
 94M    ./usr/share
 81M    ./usr/lib
 71M    ./usr/bin/lldb
 68M    ./usr/local/share
 68M    ./usr/local/lib/perl5
 66M    ./usr/bin/cpp
 64M    ./usr/local/lib/perl5/5.32
 61M    ./usr/local/lib/python3.7/test
 61M    ./usr/local/lib/python3.7/site-packages
 51M    ./usr/local/share/google-api-php-client
 50M    ./usr/local/share/google-api-php-client/vendor
 47M    ./usr/local/share/google-api-php-client/vendor/google/apiclient-services/src/Google/Service
zie ik geen schrikbarende items. Echter
Disk usage   109% / [ufs] (107G/107G)

Wat gaat hier fout, en hoe kan ik dit oplossen?
Zijn de logfiles niet zo in te stellen, dat ze niet meer dan .. MB mogen worden?
Bedankt alvast voor jullie reactie.

[dinguz]

Ik heb ook een systeem met 120GB SSD, dit is bij mij:

Code: [Select]

root@OPNsense:~ # df -h
Filesystem         Size    Used   Avail Capacity  Mounted on
/dev/gpt/rootfs    107G    2.0G     96G     2%    /
devfs              1.0K    1.0K      0B   100%    /dev
tmpfs               15G    380K     15G     0%    /tmp
devfs              1.0K    1.0K      0B   100%    /var/dhcpd/dev
devfs              1.0K    1.0K      0B   100%    /var/unbound/dev

Je ziet dat Used + Avail < Size, dat komt doordat het ufs filesysteem naar ik meen 8% reserveert. Dat verklaart die 109%, je gebruikt nu je reserveruimte, terwijl die niet meegeteld wordt in de beschikbare ruimte.

Even ter vergelijk:

Code: [Select]

root@OPNsense:~ # du -mah / | sort -rh | head -n 20
2.0G    /
1.5G    /usr
703M    /usr/local
629M    /usr/bin
402M    /usr/local/lib
258M    /boot
203M    /usr/local/lib/python3.7
202M    /var
142M    /var/log
125M    /boot/kernel.old
125M    /boot/kernel
118M    /var/log/filter
 94M    /usr/share
 81M    /usr/lib
 79M    /usr/local/lib/python3.7/site-packages
 76M    /usr/local/share
 74M    /usr/local/sbin
 71M    /usr/bin/lldb
 68M    /usr/local/lib/perl5
 66M    /usr/bin/cpp

Dat komt aardig overeen met jouw weergave. Heb je het systeem al eens herstart na je opschoonactie? Je hebt geen plugins geïnstalleerd (bv ntopng) die veel logging produceren?

[goudduif]

Dinguz, bedankt voor jou reactie.
Uiteraard heeft het systeem al een reboot gehad. Maar dat verandert niets aan de zaak.
Er is ook nog geen plugin geïnstalleerd, sterker nog, hij heeft nog nooit een connectie met het internet gehad.
Menigeen zou dan misschien zeggen, begin gewoon opnieuw, met een herinstallatie.

Dat zou een optie kunnen zijn, maar daar leer ik niets van.
Helaas is de response op dit forum, wel erg minimaal.
Ik hoop toch nog wat response te ontvangen, en anders moet ik het toch maar bij het vertrouwde pfsense houden.

[AdSchellevis]

De enige logische verklaring die ik zo snel kan bedenken is dat flowd nog draait, terwijl je de onderliggende log file verwijderd hebt. In dat geval groeit deze nog steeds, maar is er geen proces meer wat ervoor zorgt dat deze gerouleerd gaat worden (inode is er nog, maar je hebt geen referentie meer).

Als dat het geval is, zou je logischerwijs na een reboot (of `service flowd stop`) de ruimte weer terug moeten zien. In het geval het Insight aggregatie proces crashed, is er geen afnemer meer van flow.log en wordt deze ook niet meer automatisch gerouleerd. In de laatste versie zaten een aantal bugfixes voor Insight, wellicht dat dat je probleem oplost.

Netflow can vrij veel ruimte in beslag nemen, als alle onderdelen goed functioneren, dan blijft de omvang op disk binnen de perken, maar omdat flow.log als een soort "staging area" gebruikt wordt, is er wel een sterke afhankelijkheid van de insight aggregator (flowd_aggregate).

Overigens kan je vaak beter op de engelstalige fora posten om meer reacties te krijgen,

Mvg,

Ad