Время события rsyslog: timereported, timegenerated и $now отвечают на разные вопросы
Фотография конкретного исполнения не приложена.
При разборе задержки журнала важно выбрать правильную временную отметку. Событие могло долго идти через ретранслятор, затем ждать в локальной очереди и только после этого попасть в файл. Подстановка одного «текущего времени» скрывает эти этапы и затрудняет поиск причины задержки.
Timereported берётся из заголовка сообщения и отражает время, указанное отправителем. Timegenerated относится к приёму локальной системой до помещения сообщения в очередь. В текущей документации timereceived описан как его понятный псевдоним; наличие этого имени проверяют для установленной версии. Несколько сообщений одного приёмного буфера могут иметь одинаковую отметку приёма.
$now относится ко времени обработки, а не к исходному событию. После долгого ожидания в очереди расхождение с временем приёма закономерно. Разность между отметкой отправителя и локальным приёмом также зависит от согласования часов и часовых поясов. Отрицательное значение без такой проверки нельзя объявлять сетевым измерением.
В приёмке сохраняют исходные отметки и отдельно фиксируют время приёма и наблюдения. Для представления отчёта применяют согласованный часовой пояс, не перезаписывая серверные значения. Сопоставление этапов позволяет отличить задержку ретрансляции от локального backlog. График по времени записи файла без понимания выбранного поля не подтверждает ни фактическую хронологию событий, ни точную задержку доставки.
Основание — Official rsyslog8 daily stable documentation snapshot; exact installed release not inferred, разделы System Properties; timereported; timegenerated; $now. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Использован снимок официальной документации rsyslog 8 daily stable. Это обновляемая ветка, а не комплект руководств конкретного установленного выпуска. Экспериментальные segmentedDisk и local queue scope в рекомендации не включены; установленная версия, очередь и получатель не проверялись.
