这些日志解析 Perl 的行是做什么的，我怎样才能想出一些可行的方法？

Question

这个问题出现在 pop-before-smtp / Postfix / Dovecot 的上下文中，但是如果我知道 Perl 字符串解析，我可以自己想出一个答案。但是，我很迷茫，我什至不知道确切的问题。也就是说：

我们已经使用 Postfix 很长时间了，并且有点迷上了它。现在我们需要“进入现代时代”，让人们从我们的 SMTP 服务器发送电子邮件，即使他们在我们的网络之外。所以，我负责这项工作，找到了 pop-before-smtp。

你可以找到它here。

所以，我已经全部配置好，但测试失败。我已经使用方向here 对其进行了故障排除，并确定尝试解析日志的 Perl 似乎不正确。我们使用 Dovecot 作为我们的 IMAP / POP 服务器，并且在配置文件中给出了三个选项。以下是配置文件的摘录，显示了这三个集合：

# For Dovecot POP3/IMAP when using syslog.
#$pat = '^[LOGTIME] \S+ (?:dovecot: )?(?:imap|pop3)-login: ' .
#    'Login: .*? (?:\[|rip=)[:f]*(\d+\.\d+\.\d+\.\d+)[],]';
#$out_pat = '^[LOGTIME] \S+ (?:dovecot: )?(?:imap|pop3)-login: ' .
#    'Disconnected.*? (?:\[|rip=)[:f]*(\d+\.\d+\.\d+\.\d+)[],]';

# For Dovecot POP3/IMAP when it does its own logging.
##$logtime_pat = '(\d\d\d\d-\d+-\d+ \d+:\d+:\d+)';
#$pat = '^dovecot: [LOGTIME] Info: (?:imap|pop3)-login: ' .
#    'Login: .+? rip=[:f]*(\d+\.\d+\.\d+\.\d+),';
#$out_pat = '^dovecot: [LOGTIME] Info: (?:imap|pop3)-login: ' .
#    'Disconnected.*? rip=[:f]*(\d+\.\d+\.\d+\.\d+),';

# For older Dovecot POP3/IMAP when it does its own logging.
#$pat = '^(?:imap|pop3)-login: [LOGTIME] Info: ' .
#    'Login: \S+ \[[:f]*(\d+\.\d+\.\d+\.\d+)\]';
#$out_pat = '^(?:imap|pop3)-login: [LOGTIME] Info: ' .
#    'Disconnected.*? \[[:f]*(\d+\.\d+\.\d+\.\d+)\]';

应该取消注释那些适用的，但是，它们都不起作用。

我推测“pat”是登录模式，out-pat 是注销或断开连接的模式。

实际的日志记录格式明显不同于这三种中的任何一种，但它们很接近。以下是一对示例：

Mar 11 17:53:55 imap-login: Info: Login: user=<username>, method=PLAIN, rip=208.54.4.205, lip=192.168.1.1, TLS

Mar 11 17:59:10 IMAP(username): Info: Disconnected: Logged out bytes=352/43743

使用 POP 时，'imap-login' 被 'pop-login' 替换，而在注销时，'POP' 替换 'IMAP' - 为什么大小写的变化我不能说！

重要数据包括：时间戳、用户名以及登录时的“远程”ip（“rip”）。

如果有足够的时间，我也许可以拼凑出一些可行的东西，但由于我实际上并不了解 Perl，所以这有点困难。请帮助我编写新规则来解析与我们的 Dovecot 包一起使用的日志记录输出。

Answer 1

Perl 正则表达式的(:?.. 部分要求聚类，但不要求捕获；这允许将整个组作为组进行匹配或忽略，而不会影响捕获组的编号；所有的行都只捕获一个字段，即允许的 IP。 （这有点奇怪，我可能已经预料到用户名和 IP，但从长远来看，这可能会更容易。）

# For Dovecot POP3/IMAP when using syslog.
$pat = '^[LOGTIME] \S+ (?:imap|pop3)-login: Info: ' .
    'Login: .*? (?:\[|rip=)[:f]*(\d+\.\d+\.\d+\.\d+)[],]';
# not necessary? see comment header START OF PATTERNS
# $out_pat = '^[LOGTIME] \S+ (?:IMAP|POP3)\(\S+\): Info: ' .
#    'Disconnected.*';

我已删除 dovecot 部分，因为它们不在您的输入中。我在两行都添加了Info:。我已将$out_pat 修改为使用IMAP(username)，而不是原来的imap-login。 （如果用户名有空格，\S+ 的使用会中断。由于这个假设是在文件的其他地方做出的，我希望它没问题。）

由于不再需要为注销行捕获任何 IP 地址，最好不定义 $out_pat -- START OF PATTERNS 注释块包含短语 If您选择的条目还提供了$out_pat，您也应该取消注释该变量，这样我们就可以跟踪仍然连接到服务器的用户（例如，Thunderbird 缓存打开的 IMAP 连接）。

我没有对此进行测试，但我对此感觉良好。