Zabbix-3 触发器详解

xiaodouya33

　　概述:
　　触发器中的表达式使用很灵活，我们可以创建一个复杂的逻辑测试监控，触发器表达式形式如下:
{:.()}　　{主机：key.函数(参数)}常数
　　具体的例子，请接着往下走，很简单
　　Functions函数:
　　触发器functions可以引用检索到的值，当前时间或者其他元素。触发器表达式支持的function完整列表请点击官网地址 supported functions Function参数----大多数数值functions可以使用秒来作为参数。你可以使用前缀“#”来表示它有不同的含义
FUNCTION CALL描述sum(600)600秒内的总和sum(#5)最新5个值的和　　last函数使用不同的参数将会得到不同的值，#2表示倒数第二新的数据。例入从老到最新值为1,2,3,4,5,6,7,8,9,10，last(#2)得到的值为9，last(#9)得到的值为2。last函数必须包含参数。
　　avg，count，last，min和max函数还支持额外的参数，以秒为单位的参数time_shift（时间偏移量）。例如avg(1h,1d)，那么将会获取到昨天的1小时内的平均数据。
　　[warning]备注：触发器表达式需要使用history历史数据来计算，如果history不可用（time_shift时间偏移量参数无法使用），因此history记录一定要保留长久一点，至少要保留需要用的记录。
　　触发器表达式可以使用单位符号来替代大数字，例如5m替代300，或者1d替代86400,1k替代1024字节等等。
操作符
优先级操作定义1/除2*乘3-减4+加5=B+0.000001)
7#不等于.用法如下:　　A#B  (A=B+0.000001)
8=等于. T用法如下:　　A=B  (A>B-0.000001) & (A5　　触发器说明：
　　www.zabbix.com：host名称
　　system.cpu.load[all,avg1]：item值,一分内cpu平均负载值
　　last(0)：最新值
　　>5：最新值大于5
　　如上所示，www.zabbix.com这个主机的监控项，最新的CPU负载值如果大于5，那么表达式会返回true，这样一来触发器状态就改变为“problem”了。
示例二---触发器名称：www.zabbix.com is overloaded
{www.zabbix.com:system.cpu.load[all,avg1].last(0)}>5|{www.zabbix.com:system.cpu.load[all,avg1].min(10m)}>2　　当前cpu负载大于5或者最近10分内的cpu负载大于2，那么表达式将会返回true.
示例三---触发器名称：/etc/passwd has been changed,使用函数 diff():
{www.zabbix.com:vfs.file.cksum[/etc/passwd].diff(0)}>0　　/etc /passwd最新的checksum与上一次获取到的checksum不同，表达式将会返回true. 我们可以使用同样的方法监控系统重要的配置文件,例如/etc/passwd,/etc/inetd.conf等等。这些zabbix一般都会自带，没带 的你自己加上吧。
示例四----触发器名称：Someone is downloading a large file from the Internet,使用函数 min:
{www.zabbix.com:net.if.in[eth0,bytes].min(5m)}>100K　　当前主机网卡eth0最后5分钟内接收到的流量超过100KB那么触发器表达式将会返回true
示例五---触发器名称：Both nodes of clustered SMTP server are down
{smtp1.zabbix.com:net.tcp.service[smtp].last(0)}=0&{smtp2.zabbix.com:net.tcp.service[smtp].last(0)}=0　　当smtp1.zabbix.com和smtp2.zabbix.com两台主机上的SMTP服务器都离线，表达式将会返回true.
示例六---触发器名称：Zabbix agent needs to be upgraded，使用函数str():
{zabbix.zabbix.com:agent.version.str("beta8")}=1　　如果当前zabbix agent版本包含beta8（假设当前版本为1.0beta8），这个表达式会返回true.
示例七---触发器名称：Server is unreachable
{zabbix.zabbix.com:icmpping.count(30m,0)}>5　　如上表达式表示最近30分钟zabbix.zabbix.com这个主机超过5次不可到达。
示例八---触发器名称：No heartbeats within last 3 minutes，使用函数 nodata():
{zabbix.zabbix.com:tick.nodata(3m)}=1　　tick 为Zabbix trapper类型，首先我们要定义一个类型为Zabbix trapper，key为tick的item。我们使用zabbix_sender定期发送数据给tick，如果在3分钟内还未收到 zabbix_sender发送来的数据，那么表达式返回一个true，与此同时触发器的值变为“PROBLEM”。
示例九---触发器名称：CPU activity at night time,使用函数 time():
{zabbix:system.cpu.load[all,avg1].min(5m)}>2&{zabbix:system.cpu.load[all,avg1].time(0)}>000000&{zabbix:system.cpu.load[all,avg1].time(0)}2　　This expression will fire if the average load of the last hour tops the average load of the same hour yesterday more than two times.
Hysteresis（迟滞,滞后）
　　简单的说触发器状态转变为problem需要一个条件，从problem转变回来还需要一个条件才行。一般触发器只需要不满足触发器为problem条件即可恢复。明白了么？不明白就看例子吧。
　　有时候触发器需要使用不同的条件来表示不同的状态，举个官网很有趣的例子：机房温度正常稳定为15-20°，当温度超过20°，触发器值为problem，直到温度低于15°才会接触警报，异常会解除。别整这些没用的，我们看实例.
　　为了达到这个效果，我们需要使用如下触发器表达式:
示例1---触发器名称：Temperature in server room is too high
({TRIGGER.VALUE}=0&{server:temp.last(0)}>20)|({TRIGGER.VALUE}=1&{server:temp.last(0)} N　　Previous value is < N
　　Previous value is = N
　　Previous value is NOT N
　　zabbix触发器方法prev - 实例
　　CPU前一个负载值大于0.7
{dd-pre-01:system.cpu.load[percpu,avg1].prev()}>0.7　　或者使用last获得同样的效果
{dd-pre-01:system.cpu.load[percpu,avg1].last(#2)}>0.　　zabbix触发器方法prev - 支持类型
　　它支持类型包括：float, int, str, text, log
　　　　　zabbix获取当前UNIX时间戳now zabbix触发器函数
　　获取当前UNIX时间戳，UNIX时间戳是什么？当前距离1970年1月1日00:00:00一共多少秒。使用zabbix触发器函数：now()，举一个简单的例子。
　　2020年1月1日0时0分0秒（UNIX时间戳：1577808000）到2020年2月1日0时0分0秒（UNIX时间戳：1580486400）之间，cpu1分钟负载大于1触发告警。例子意义不大，希望大家举一反三。
{ttlsa-server:system.cpu.load[all,avg1].last()}>1 and　　{ttlsa-server:system.cpu.load[all,avg1].now()}>1577808000 and
　　{ttlsa-server:system.cpu.load[all,avg1].now()} N
　　Average value of a period is = N
　　Average value of a period is NOT N
　　zabbix触发器方法avg - 实例
　　CPU负载最近一小时平均值等于1
{dd-pre-01:system.cpu.load[percpu,avg1].avg(1h)}=1　　CPU负载昨天当前时间的上一小时平均值等于1，1d表示时间往前推移1天，你可以写1h，1m，10d，现在明白了time_thrift的用法了吧？
{dd-pre-01:system.cpu.load[percpu,avg1].avg(1h,1d)}=1　　CPU负载最近10次的平均值等于1
{dd-pre-01:system.cpu.load[percpu,avg1].avg(#10)}=1　　昨天同一时间CPU负载最近10次的平均值等于1
{dd-pre-01:system.cpu.load[percpu,avg1].avg(#10,1d)}=1　　zabbix触发器方法avg - 支持类型
　　它支持类型包括：float, int，能平均的除了数字还有谁？
　　　　　　获取最大值max zabbix触发器函数
zabbix触发器函数max - 作用
　　有如下作用：

• 　　获取一个时间周期内最大值
  
• 　　获取几个返回值中的最大值
  
• 　　以上方法，时间往前推移1分钟，1小时，1天等等
  

zabbix触发器函数max - 对应web
　　文字如下
Maximum value for period T is > N　　Maximum value for period T is < N
　　Maximum value for period T is = N
　　Maximum value for period T is NOT N
　　zabbix触发器函数max - 例子
　　语法：max (sec|#num,)
　　一个小时内cpu负载最大值超过10
{dd-pre-01:system.cpu.load[percpu,avg1].max(1h)}>10　　cpu负载最近10个返回值，最大值超过10
{dd-pre-01:system.cpu.load[percpu,avg1].max(#10)}>10最小值min zabbix触发器函数
　　功能和上一节将的max整好相反，我们将结合max、min来一个更有意思的实例。
zabbix触发器函数min - 作用
　　，有如下作用：

• 　　获取一个时间周期内最小值
  
• 　　获取几个返回值中的最小值
  
• 　　以上方法，时间往前推移1分钟，1小时，1天等等
  

zabbix触发器函数min - 对应web
　　文字如下
Minimum value for period T is > N　　Minimum valuefor period T is < N
　　Minimum value for period T is = N
　　Minimum value for period T is NOT N
　　zabbix触发器函数min - 例子
　　语法：min(sec|#num,)
　　一个小时内cpu负载最小值小于0.2
{dd-pre-01:system.cpu.load[percpu,avg1].min(1h)}