Анализируем UDP логи Squid-proxy

[gotch]

В Elastic есть готовая интеграция Squid. Сам не большой фанат их решений из коробки, но можно взять за основу и сделать лучше.

Что будет с логами, если UDP приемник недоступен?

[francyfox]

С логами ничего не будет. Squid продолжит работу. Каждый лог сохраняется в редис (время жизни одна неделя, если нет переполнения). Речь идёт о том как после разрыва восстановить пропущенные данные? Думаю я никак не могу отправить запрос на squid в стиле: отдай мне данные с такого по такой период. Он просто отправляет свежие данные пачкой по 2-10 штук.

[gotch]

Squid продолжит работу, но логи будут утрачены. Поэтому сохранение в файл и его парсинг - более надёжный вариант. Иногда утрата логов - неприемлема (если они, например, используются не для обсчета статистики, а для событий ИБ)