Cuando el registro de acceso de Squid parece tener años de retraso

El formato de acceso nativo de Squid comienza con una marca de tiempo de época, escrita convencionalmente como %ts.%03tu: segundos desde la época seguidos de tres dígitos de milisegundos. Un valor en esa posición no es una fecha de calendario formateada.

Primero compruebe el formato activo de access_log. Para Squid 7, revise la selección de salida y formato de access_log de la instancia. Un formato de registro personalizado, un prefijo de syslog o un procesador de registros posterior pueden colocar otra marca de tiempo al inicio de la línea mostrada.

Tres comprobaciones lo acotan

1. Decodifique el valor numérico con la unidad correcta. Los dígitos fraccionarios forman parte de un valor en segundos, no de una marca de tiempo entera separada en milisegundos.
2. Compare la hora UTC decodificada con la visualización de la hora local. Una diferencia de zona horaria puede desplazar la hora mostrada y a veces el día del calendario; pero no explica una fecha a muchos años de distancia.
3. Compare un registro reciente con el reloj de la máquina que ejecuta esa instancia de Squid. En un host systemd, timedatectl status informa la configuración del reloj y el estado de sincronización.

Si el reloj del host también es incorrecto, investigue su sincronización horaria y, cuando corresponda, la configuración de hora de la máquina virtual. Una sola fecha de registro inverosímil no basta para identificar una batería de reloj de hardware agotada.

Si el reloj del host es correcto, confirme que el archivo está actualizado y pertenece a esa instancia. Revise archivos rotados, recolectores remotos y conversiones de marcas de tiempo en la herramienta de visualización.

También distinga la marca de tiempo de la transacción del momento en que un recolector recibe la línea. El registro de acceso normal se produce al completarse la solicitud, y el registro del demonio puede escribir de forma asíncrona. Una solicitud o un túnel de larga duración no tiene por qué aparecer en el momento de su conexión inicial.