Quand le journal d'accès de Squid semble avoir des années de retard

Le format d'accès natif de Squid commence par un horodatage epoch, généralement écrit sous la forme %ts.%03tu : des secondes depuis l'epoch suivies de trois chiffres de millisecondes. Une valeur à cette position n'est pas une date de calendrier formatée.

Vérifiez d'abord le format access_log actif. Pour Squid 7, consultez le choix de sortie et de format d'access_log de l'instance. Un format de journal personnalisé, un préfixe syslog ou un processeur de journaux en aval peuvent placer un horodatage différent au début de la ligne affichée.

Trois vérifications permettent de cerner le problème

1. Décodez la valeur numérique avec la bonne unité. Les chiffres fractionnaires font partie d'une valeur en secondes, et non d'un horodatage entier distinct en millisecondes.
2. Comparez l'heure UTC décodée avec l'affichage de l'heure locale. Un décalage de fuseau horaire peut déplacer l'heure affichée et parfois le jour du calendrier ; il n'explique pas une date située à plusieurs années.
3. Comparez un enregistrement récent avec l'horloge de la machine qui exécute cette instance de Squid. Sur un hôte systemd, timedatectl status indique les réglages de l'horloge et l'état de synchronisation.

Si l'horloge de l'hôte est également fausse, examinez sa synchronisation temporelle et, le cas échéant, la configuration de l'heure de la machine virtuelle. Une seule date de journal invraisemblable ne suffit pas à identifier une pile d'horloge matérielle défaillante.

Si l'horloge de l'hôte est correcte, confirmez que le fichier est à jour et appartient à cette instance. Vérifiez les archives rotatives, les collecteurs distants et les conversions d'horodatage dans l'outil de visualisation.

Distinguez aussi l'horodatage de la transaction du moment où un collecteur reçoit la ligne. La journalisation d'accès normale a lieu à la fin de la requête, et la journalisation du démon peut écrire de manière asynchrone. Une requête ou un tunnel de longue durée n'apparaît pas nécessairement à l'heure de sa connexion initiale.