zabbix触发器表达式详解

概述:触发器中的表达式使用很灵活，我们可以创建一个复杂的逻辑测试监控，触发器表达式形式如下:

{<server>:<key>.<function>(<parameter>)}<operator><constant>

{主机：key.函数(参数)}<表达式>常数，具体的例子，请接着往下走，很简单

Functions函数:触发器functions可以引用检索到的值，当前时间或者其他元素。触发器表达式支持的function完整列表请点击官网地址 supported functions

Function参数----大多数数值functions可以使用秒来作为参数。你可以使用前缀“#”来表示它有不同的含义

last函数使用不同的参数将会得到不同的值，#2表示倒数第二新的数据。例入从老到最新值为1,2,3,4,5,6,7,8,9,10，last(#2)得到的值为9，last(#9)得到的值为2。last函数必须包含参数。
AVG，count，last，min和max函数还支持额外的参数，以秒为单位的参数time_shift（时间偏移量）。例如avg(1h,1d)，那么将会获取到昨天的1小时内的平均数据。

[warning]备注：触发器表达式需要使用history历史数据来计算，如果history不可用（time_shift时间偏移量参数无法使用），因此history记录一定要保留长久一点，至少要保留需要用的记录。[/warning]
触发器表达式可以使用单位符号来替代大数字，例如5m替代300，或者1d替代86400,1k替代1024字节等等。

操作符

触发器示例

示例---触发器名称：Processor load is too high on www.zabbix.com

{www.zabbix.com:system.cpu.load[all,avg1].last(0)}>

触发器说明：

www.zabbix.com：host名称

system.cpu.load[all,avg1]：item值,一分内cpu平均负载值

last(0)：最新值

>5：最新值大于5

如上所示，www.zabbix.com这个主机的监控项，最新的CPU负载值如果大于5，那么表达式会返回true，这样一来触发器状态就改变为“problem”了。

示例二---触发器名称：www.zabbix.com is overloaded

{www.zabbix.com:system.cpu.load[all,avg1].last(0)}>5|{www.zabbix.com:system.cpu.load[all,avg1].min(10m)}>

当前cpu负载大于5或者最近10分内的cpu负载大于2，那么表达式将会返回true.

示例三---触发器名称：/etc/passwd has been changed,使用函数 diff():

{www.zabbix.com:vfs.file.cksum[/etc/passwd].diff(0)}>

/etc /passwd最新的checksum与上一次获取到的checksum不同，表达式将会返回true. 我们可以使用同样的方法监控系统重要的配置文件,例如/etc/passwd,/etc/inetd.conf等等。这些zabbix一般都会自带，没带 的你自己加上吧。

示例四----触发器名称：Someone is downloading a large file from the Internet,使用函数 min:

{www.zabbix.com:net.if.in[eth0,bytes].min(5m)}>100K

当前主机网卡eth0最后5分钟内接收到的流量超过100KB那么触发器表达式将会返回true

示例五---触发器名称：Both nodes of clustered SMTP server are down

{smtp1.zabbix.com:net.tcp.service[smtp].last(0)}=0&{smtp2.zabbix.com:net.tcp.service[smtp].last(0)}=

当smtp1.zabbix.com和smtp2.zabbix.com两台主机上的SMTP服务器都离线，表达式将会返回true.

示例六---触发器名称：Zabbix agent needs to be upgraded，使用函数str():

{zabbix.zabbix.com:agent.version.str("beta8")}=

如果当前zabbix agent版本包含beta8（假设当前版本为1.0beta8），这个表达式会返回true.

示例七---触发器名称：Server is unreachable

{zabbix.zabbix.com:icmpping.count(30m,0)}>

如上表达式表示最近30分钟zabbix.zabbix.com这个主机超过5次不可到达。

示例八---触发器名称：No heartbeats within last 3 minutes，使用函数 nodata():

{zabbix.zabbix.com:tick.nodata(3m)}=

tick 为Zabbix trapper类型，首先我们要定义一个类型为Zabbix trapper，key为tick的item。我们使用zabbix_sender定期发送数据给tick，如果在3分钟内还未收到 zabbix_sender发送来的数据，那么表达式返回一个true，与此同时触发器的值变为“PROBLEM”。

示例九---触发器名称：CPU activity at night time,使用函数 time():

{zabbix:system.cpu.load[all,avg1].min(5m)}>2&{zabbix:system.cpu.load[all,avg1].time(0)}>000000&{zabbix:system.cpu.load[all,avg1].time(0)}<

只有在凌晨0点到6点整，最近5分钟内cpu负载大于2，表达式返回true，触发器的状态变更为“problem”

示例十---触发器名称：Check if client local time is in sync with Zabbix server time,使用函数 fuzzytime():

{MySQL_DB:system.localtime.fuzzytime(10)}=

主机MySQL_DB当前服务器时间如果与zabbix server之间的时间相差10秒以上，表达式返回true，触发器状态改变为“problem”

示例十一---触发器名称：Comparing average load today with average load of the same time yesterday (使用 time_shift 时间偏移量参数).

{server:system.cpu.load.avg(1h)}/{server:system.cpu.load.avg(1h,1d)}>

This expression will fire if the average load of the last hour tops the average load of the same hour yesterday more than two times.

Hysteresis（迟滞,滞后）

简单的说触发器状态转变为problem需要一个条件，从problem转变回来还需要一个条件才行。一般触发器只需要不满足触发器为problem条件即可恢复。明白了么？不明白就看例子吧。
有时候触发器需要使用不同的条件来表示不同的状态，举个官网很有趣的例子：机房温度正常稳定为15-20°，当温度超过20°，触发器值为problem，直到温度低于15°才会接触警报，异常会解除。别整这些没用的，我们看实例.

为了达到这个效果，我们需要使用如下触发器表达式:

示例1---触发器名称：Temperature in server room is too high

({TRIGGER.VALUE}=0&{server:temp.last(0)}>20)|

({TRIGGER.VALUE}=1&{server:temp.last(0)}<15)

如上有两个小括号，前面一个表示触发异常的条件，后面一个表达式表示解除异常的条件。

注意：宏变量 {TRIGGER.VALUE}将会返回当前触发器的值

示例2---触发器名称：Free disk space is too low

Problem: 最近5分钟剩余磁盘空间小于10GB。（异常）

Recovery: 最近10分钟磁盘空间大于40GB。（恢复）

简单说便是一旦剩余空间小于10G就触发异常，然后接下来剩余空间必须大于40G才能解除这个异常，就算你剩余空间达到了39G（不在报警条件里）那也是没用的，有意思不！

({TRIGGER.VALUE}=0&{server:vfs.fs.size[/,free].max(5m)}<10G) |

({TRIGGER.VALUE}=1&{server:vfs.fs.size[/,free].min(10m)}<40G)

结尾

这篇文章很有必要细细读，很重要。

　　　　　　　　　　zabbix触发器依赖关系详解

概述

zabbix触发器可以设置依赖性，例如我配置了两个触发器，一个触发器定义www.ttlsa.com这个HOST是否在运行中，另一个是www.ttlsa.com的网络是否通畅。假如网络出现故障，但是ttlsa服务器并未出现故障，我们依旧会收到这两个触发器给到的故障通知。
现在的问题很明显，HOST是正常的，肯定不希望收到他的故障信息，因为它正常工作。所以在配置HOST触发器时，我们需要增加依赖关系，依赖网络是否畅通这个触发器。一旦网络出现故障，将不会出发HOST故障的通知。单个触发器可以依赖于多个触发器。

触发器依赖要点

• 一台HOST的触发器可以依赖其他HOST的触发器，但是注意不要有死循环依赖。比如A依赖B，B依赖C，C又依赖A。一个圆圈，没完没了。如下是A依赖B，B又依赖A，根本依赖不了，有如下报错。
  

  zabbix触发器依赖(1)

• 一个模板的触发器可以依赖另外一个模板的触发器，例如模板A触发器依赖模板B触发器。一个HOST要链接A模板，那么它同时要链接A模板（因为模
  板A中的触发器依赖了模板B中的触发器），但是HOST可以单独链接模板B（B是被依赖）。在一个host单独链接template
  A，结果出现如下错误，所以别忘记了一起把template B也链接到HOST中。
  

  zabbix触发器依赖(2)

• 模板中的触发器可以依赖HOST中的触发器。如果某个HOST链接这类模板，那么HOST创建的相应的触发器也同样会依赖那个HOST的触发器。
  举个官方的例子，某个模板中的一些触发器依赖了route/主机的触发器，凡事链接（理解为套用）了这个模板的机器都会依赖这些router/主机。说了
  那么多，其实就是继承了。
• HOST中的触发器不能依赖模板中的触发器。

配置

编辑触发器，选择选项卡“dependencies”，点击Add，选择你需要依赖的触发器，如下图：

zabbix触发器依赖(3)

然后点击保存，可以看到触发器多了一个depend on

zabbix触发器依赖(4)

多个依赖实例

借用官方文档的示例，Host前面有个Router2，Router2前面有Router1，如下：

Zabbix - Router1 - Router2 - Host

如果Router1挂了，很明显Router2和Host连不上，我们不希望收到关于连不上Router2和HOST的通知，因此，我们定义了如下依赖关系：

'Host is down' trigger depends on 'Router2 is down'

trigger'Router2 is down' trigger depends on 'Router1 is down' trigger

在触发器将Host的状态改变为'Host is down'之前，它会检查host相关的依赖，这时候如果发现它依赖的触发器只要出现一个problem状态，那么当前触发器状态不会变化，这样一来action不会执行，报警通知sms/email自然也不会发送了。

zabbix会递归执行检测，如果router1或者router2有一个出现连不上，那么Host的触发器不会有任何的改变。

　　　　　　　　　　zabbix创建触发器trigger

1. 创建触发器

了解了什么触发器，接下来看下zabbix触发器怎么创建和配置，方法很简单，请大家往下读，有什么问题请留言。

创建触发器步骤:

• 点击Configuration（配置） → Hosts（主机）
• 点击hosts（主机）相关行的trigger
• 点击右上角的创建触发器（create trigger），你也可以修改列表中的触发器

在表单中输入相应的信息

2. 配置触发器

如下为触发器

zabbix触发器配置

参数介绍

3. 触发器依赖

上图大家可以看到有个Dependencies，他是做什么的? 翻译为依赖，具体的用法我们后面章节来讲

　　　　zabbix触发器严重性定义Trigger severity

severity通常用来定义当前item的一个状态的严重性。我们可以根据不同的严重性来定义不同的事件，例如报警，zabbix自带如下严重性定义。

Trigger severity表格

severities 用途

• 可视化显示，不同级别显示不同颜色，例如一般严重性为绿色
• 声音报警,不同的级别不同声音.
• 使用用户自定义媒体报警，例如严重问题发短信，其他问题发送邮件。
• 根据严重性来定义是否报警

可以自定义触发器严重性以及颜色，请参考：customise trigger severity names and colours.

　　　　　　　　zabbix自定义触发器严重性　　　　

触发器严重性介绍

触发器严重性命名以及颜色定义都可以在zabbix web后台定义，点击Administration（管理） → General （常规）→ Trigger severities（触发器严重性）。这边定义好的颜色在每个不同主题/风格里面都是一样的。
所有系统默认的触发器名字在各国的语言包中都有翻译，但是你自定义的其他语言包不会给你翻译，因为在语言包里面没有这一个项目。那么怎么保证各国语言包里面都能相应的翻译自定义的严重性呢?
我们知道zabbix默认定义了6个触发器严重性，分别为：Not classified、Information、Warning、Average、High、Disaster，有些人觉得High不好理解或者觉得描述不满意，想改成Important，请看如下操作：

设置触发器名称

点击Administration（管理） → General （常规）→ Trigger severities（触发器严重性），将High改为important，当然这里你也可以自定义你的颜色，我们这边就不再敖述了，修改完之后点击保存。

zabbix修改严重性名称

添加内容到frontend.po

# /data/site/monitor.ttlsa.com/locale/en_US/LC_MESSAGES/frontend.po

msgid "Important"

msgstr "very Import"

[warning]备注：/data/site/monitor.ttlsa.com/是您zabbix站点根目录[/warning]

创建.mo文件

需要执行locale目录下的make_mo.sh文件，如果出现./make_mo.sh: line 4: msgfmt: command not found，那么请你先安装msgfmt

# yum install gettext

然后执行make_mo.sh

# ./make_mo.sh

效果

随意选择一个Host的触发器列表，看左边信息，请看如下图<

severities修改并翻译

在 自定义触发器名称之前应该显示High的，这边被我们修改成了Very Import。zabbix是一个多语言监控系统，如果你想切换到中文环 境，那么你需要修改zh_CN下的frontend.po，然后make_mo.sh创建frontend.mo。否则将只会显示Important，如 下：

severities未翻译

这边直接显示触发器的MSGID，因为你没翻译。

最后

6个触发器级别，名称随你修改，但是大多数情况下我们都不需要修改，默认的挺好的，不是吗？非要自定义，我不拦你。

　　　　　　zabbix获取上一个值prev zabbix触发器函数

zabbix触发器方法prev用于获取item前一个返回值，与方法last(#2)是同样的意思

zabbix触发器方法prev - web界面

zabbix获取前一个返回值

如下是web界面提供的功能：

Previous value is > N

Previous value is < N

Previous value is = N

Previous value is NOT N

zabbix触发器方法prev - 实例

CPU前一个负载值大于0.7

{dd-pre-01:system.cpu.load[percpu,avg1].prev()}>0.7

或者使用last获得同样的效果

{dd-pre-01:system.cpu.load[percpu,avg1].last(#2)}>0.

zabbix触发器方法prev - 支持类型

它支持类型包括：float, int, str, text, log

　　　　　zabbix获取当前UNIX时间戳now zabbix触发器函数

获取当前UNIX时间戳，UNIX时间戳是什么？当前距离1970年1月1日00:00:00一共多少秒。使用zabbix触发器函数：now()，举一个简单的例子。

2020年1月1日0时0分0秒（UNIX时间戳：1577808000）到2020年2月1日0时0分0秒（UNIX时间戳：1580486400）之间，cpu1分钟负载大于1触发告警。例子意义不大，希望大家举一反三。

{ttlsa-server:system.cpu.load[all,avg1].last()}>1 and

{ttlsa-server:system.cpu.load[all,avg1].now()}>1577808000 and

{ttlsa-server:system.cpu.load[all,avg1].now()}<

　　　　　　zabbix取平均值avg zabbix触发器函数

zabbix触发器方法avg与上一节的abschange多了时间概念。上一节仅仅是取前后两个值对比，avg有如下取值方式：

1. 最后N个值
2. 最近XX时间，例如最近1h
3. 以上1和2还要结合time_thift时间偏移参数，例如1h

zabbix-function-avg

zabbix触发器方法avg - web界面

如下是web界面提供的功能：

Average value of a period is < N

Average value of a period is > N

Average value of a period is = N

Average value of a period is NOT N

zabbix触发器方法avg - 实例

CPU负载最近一小时平均值等于1

{dd-pre-01:system.cpu.load[percpu,avg1].avg(1h)}=

CPU负载昨天当前时间的上一小时平均值等于1，1d表示时间往前推移1天，你可以写1h，1m，10d，现在明白了time_thrift的用法了吧？

{dd-pre-01:system.cpu.load[percpu,avg1].avg(1h,1d)}=

CPU负载最近10次的平均值等于1

{dd-pre-01:system.cpu.load[percpu,avg1].avg(#10)}=

昨天同一时间CPU负载最近10次的平均值等于1

{dd-pre-01:system.cpu.load[percpu,avg1].avg(#10,1d)}=

zabbix触发器方法avg - 支持类型

它支持类型包括：float, int，能平均的除了数字还有谁？

　　　　　　获取最大值max zabbix触发器函数

zabbix触发器函数max - 作用

有如下作用：

1. 获取一个时间周期内最大值
2. 获取几个返回值中的最大值
3. 以上方法，时间往前推移1分钟，1小时，1天等等

zabbix触发器函数max - 对应web

文字如下

Maximum value for period T is > N

Maximum value for period T is < N

Maximum value for period T is = N

Maximum value for period T is NOT N

zabbix触发器函数max - 例子

语法：max (sec|#num,<time_shift>)

一个小时内cpu负载最大值超过10

{dd-pre-01:system.cpu.load[percpu,avg1].max(1h)}>

cpu负载最近10个返回值，最大值超过10

{dd-pre-01:system.cpu.load[percpu,avg1].max(#10)}>

　　　　　　　　　　最小值min zabbix触发器函数

功能和上一节将的max整好相反，我们将结合max、min来一个更有意思的实例。

zabbix触发器函数min - 作用

，有如下作用：

1. 获取一个时间周期内最小值
2. 获取几个返回值中的最小值
3. 以上方法，时间往前推移1分钟，1小时，1天等等

zabbix触发器函数min - 对应web

文字如下

Minimum value for period T is > N

Minimum valuefor period T is < N

Minimum value for period T is = N

Minimum value for period T is NOT N

zabbix触发器函数min - 例子

语法：min(sec|#num,<time_shift>)

一个小时内cpu负载最小值小于0.2

{dd-pre-01:system.cpu.load[percpu,avg1].min(1h)}<0.2

cpu负载最近10个返回值，最小值小于0.2

{dd-pre-01:system.cpu.load[percpu,avg1].min(#10)}<0.2

zabbix触发器函数min/max - 实例

触发器名称：Free disk space is too low

Problem: 最近5分钟剩余磁盘空间小于10GB。（异常）

Recovery: 最近10分钟磁盘空间大于40GB。（恢复）

讲解：简单说便是一旦剩余空间小于10G就触发异常，然后接下来剩余空间必须大于40G才能解除这个异常，就算你剩余空间达到了39G（不在报警条件里）那也是没用的.

({TRIGGER.VALUE}=0 and {server:vfs.fs.size[/,free].max(5m)}<10G)  or

({TRIGGER.VALUE}=1 and {server:vfs.fs.size[/,free].min(10m)}<40G)

　　　　　　　　abschange前后差值 zabbix触发器函数

监控实战中，每个同学对触发器告警条件要求各不相同，so，zabbix提供了几十个方法提供使用。部分人对以下功能也不甚了解。接下来，我会一一讲解下图function与zabbix提供function的对应关系，以及他们的功能。

zabbix-function

zabbix取前后差值（绝对值）- abschange

如下是web界面提供的功能：

Absolute difference between last and previous value is = N

Absolute difference between last and previous value is > N

Absolute difference between last and previous value is < N

Absolute difference between last and previous value is NOT N

通过实例来一一了解它，例子也许很滑稽很不合理，但是大家可以举一反三，它只是一个例子

如果（每核）CPU 1分钟负载浮动1（突然增加1，1分钟后又降低1）

{ttlsa-web-01:system.cpu.load[percpu,avg1].abschange()}=

如果（每核）CPU 1分钟负载浮动大于1

{ttlsa-web-01:system.cpu.load[percpu,avg1].abschange()}>

如果（每核）CPU 1分钟负载浮动小于1

{ttlsa-web-01:system.cpu.load[percpu,avg1].abschange()}<

如果（每核）CPU 1分钟负载浮动不等于1

{ttlsa-web-01:system.cpu.load[percpu,avg1].abschange()}<>

abschange支持类型

它支持类型包括：float, int, str, text, log，它不仅仅支持数值，还支持字符串。如果取值为字符串，那么字符串相同值为0，不同则为1

如下为主机名发生变更的触发器表达式

{ttlsa-web-01:system.hostname.abschange()}=