Quando o log de acesso do Squid parece estar anos atrasado

O formato de acesso nativo do Squid começa com um carimbo de tempo epoch, convencionalmente escrito como %ts.%03tu: segundos desde a epoch seguidos de três dígitos de milissegundos. Um valor nessa posição não é uma data de calendário formatada.

Primeiro verifique o formato access_log ativo. Para o Squid 7, revise a escolha de saída e formato do access_log da instância. Um formato de log personalizado, um prefixo syslog ou um processador de logs posterior podem colocar um carimbo de tempo diferente no início da linha exibida.

Três verificações restringem o problema

1. Decodifique o valor numérico com a unidade correta. Os dígitos fracionários fazem parte de um valor em segundos, não de um carimbo de tempo inteiro separado em milissegundos.
2. Compare o horário UTC decodificado com a exibição do horário local. Uma diferença de fuso horário pode deslocar a hora exibida e às vezes o dia do calendário; mas não explica uma data a muitos anos de distância.
3. Compare um registro recente com o relógio da máquina que executa essa instância do Squid. Num host systemd, timedatectl status informa as configurações do relógio e o estado de sincronização.

Se o relógio do host também estiver errado, investigue a sincronização de horário e, quando aplicável, a configuração de horário da máquina virtual. Uma única data de log inverossímil não basta para identificar uma bateria de relógio de hardware com defeito.

Se o relógio do host estiver correto, confirme que o arquivo está atualizado e pertence a essa instância. Verifique arquivos rotacionados, coletores remotos e conversões de carimbo de tempo na ferramenta de visualização.

Distinga também o carimbo de tempo da transação do momento em que um coletor recebe a linha. O registro de acesso normal ocorre na conclusão da requisição, e o registro do daemon pode gravar de forma assíncrona. Uma requisição ou túnel de longa duração não precisa aparecer no horário da conexão inicial.