linux笔记11 --系统日志

*********************** 系统日志 *************************
## 1. 系统日志默认分类
/var/log/messages     -- 系统服务及日志，包括服务的信息，报错等等
/var/log/secure       -- 系统认证信息日志
/var/log/maillog      -- 系统邮件服务信息
/var/log/cron         -- 系统定时任务信息
/var/log/boot          -- 系统启动信息

例：查看系统服务及日志，包括服务的信息，报错等

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072221577.jpg" title="捕获.PNG" />

##  2. 日志管理服务 rsyslog ##

1.rsyslog 负责采集日志和分类存存放日志
2.rsyslog 日志分类
服务 . 日志级别 --/ 存放文件
例：把所有服务所有级别的日志放入 /var/log/westos
a.vim /etc/rsyslog.conf -- 主配置文件 650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072221885.jpg" title="捕获2.PNG" />
b.*.* --/var/log/westos650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072222119.jpg" title="捕获.PNG" />
systemctl restart rsyslog

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072222413.jpg" title="捕获.PNG" />

结果：

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072222606.jpg" title="捕获3.PNG" />

3. 日志格式
日志设备（类型） . （连接符号）日志级别 日志处理方式

4. 日志设备（日志类型）
auth pam 产生的日志
authpriv ssh ， ftp 等登陆信息的验证信息
cron 时间任务相关
kern 内核
lpr 打印
mai 邮件
marl （ svslog ） -rsvslog 服务内部的信息，时间标识
user 相关用户程序产生的信息
news 新闻组
uucp unix to unix copy ， unix 主机之间的相关通讯
loacl 1 ～ 7 自定义的日志设备

5. 日志级别
debug 有调试信息的，日志信息最多
info 一般的信息日志，最常用
notice 最具有重要性的普通条件的信息
warning 警告级别
err 错误级别，阻止某个功能或者模块不能正常工作的信息
crit 严重级别，阻止整个系统或者软件不能正常工作的信息
alert 需要立刻修改的信息
emerg 内核崩溃等严重信息
none 什么都不记录
从上到下，级别从低到高，记录的信息越来越少
详细可查看手册 man 3 syslog

6. 连接符号
.xxx: 表示大于等于 xxx 级别的信息
.=xxx ：表示等于 xxx 级别的信息
.!xxx: 表示在 xxx 之外的等级的信息

例：
1. 记录到普通文件或设备文件
*.* /var/log/file.log 绝对路径
*.* /dev/pst/0
测试： logger -p local3.info ‘KadeFor is testing the rsyslog and logger"
logger 用于产生日志命令
2. 送给用户（需在线才能收到）
*.* root
*.* root,dadefor,up01 使用 ‘ ， ’ 分隔多个用户
*.* * * 号表示所有在线用户
File: /run/media/kiosk/HELLO/unit10/2 Page 2 of 3
3. 忽略，丢弃
local3.* ～ 忽略所有 local3 类型的所有级别的日志
4. 执行脚本
local3.* ^/tmp/a.sh ^ 号后跟可执行脚本或程序的绝对路径
日志内容可以作为脚本的第一个参数
可用来触发报警

7. 日志同步
systemctl stop firewalld
配置日志发送方
*.* @172.25.0.11 通过 udp 协议把日志发送到 11 主机， @udp ， @@tcp

配置日志接受方
15 $ModLoad inuddp 日志接受插件
16 $UDPServerRun 514 日志接受插件使用端口
netstat -anuple | grep rsyslog
测试
>/var/log/message 两边都作
logger test messages 日志发送方
tail -f /var/log/message 日志接受方

日志发送方

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072222841.jpg" title="捕获.PNG" /> 650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072223036.jpg" title="捕获3.PNG" />

日志接收方

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072223424.jpg" title="捕获2.PNG" />

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072223638.jpg" title="捕获4.PNG" />

8. 日志采集格式
$template WESTOS, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%n"
%timegenerated%
%FROMHOST-IP%
%syslogtag%
%msg%
n
$ActionfileDefaultTemplate WESTOS
*.info;mail.none;authpriv.none;cron.none /var/log/messages;<<WESTOS>>

##3. 日志分析工具 ##
systemd-journald          进程名称

journalctl                直接执行，浏览系统日志
-n 3                      显示最新三条
-p err                    显示报错
-f                       监控日志
--since --until          --since“ 【 YYYY-MM-DD 】 【 HH ： mm ： ss 】 “
                         从什么时间到什么时间的日志
-o verbose                显示日志能够使用的详细进程参数
                         _SYSTEMD_UNIT=sshd.service 服务名称
                         _PID=1182 进程 pid

例：

查看最新三条

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072223869.jpg" title="捕获.PNG" />

显示报错

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072224111.jpg" title="捕获2.PNG" />

监控日志

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072224418.jpg" title="捕获3.PNG" />

查看一段时间内的日志

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072224723.jpg" title="捕获4.PNG" />

显示日志的详细参数

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072225231.jpg" title="捕获5.PNG" />

查看制定参数的日志

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072225629.jpg" title="捕获7PNG.PNG" />

对 systemd-journald 管理
默认情况下此程序会忽略重启前的日志信息，如不忽略：
mkdir /var/log/journal
chown root:systemd-journal /var/log/journal
chmod 2755 /var/log/journal
killall -1 systemd-journald
ls /var/log/journal/4513ad59a3b442ffa4b7ea88343fa55f
system.journal user-1000.journal

<<< 练习题 >>>
1. 配置 desktop 主机和 server 主机的日志服务要求如下：
* ） desktop 主机中的日志全部定向到 /var/log/westos 文件中
* ）时时同步 desktop 主机中的所有日志到 server 中

日志发送方

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072222841.jpg" title="捕获.PNG" /> 650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072226113.jpg" title="捕获1.PNG" />

日志接收方

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072223424.jpg" title="捕获2.PNG" />

650) this.width=650;" src="/upload/getfiles/default/2022/11/8/20221108072223638.jpg" title="捕获4.PNG" />

2. 在 server 主机中用 timedatectl 命令设定系统时区为上海，时间为 11 ： 11 ： 11
File: /run/media/kiosk/HELLO/unit10/2 Page 3 of 3
3. 配置 server 主机的 chronyd 服务，使 server 主机中的时间可以被 desktop 主机同步
4. 同步 server 主机中的时间到 desktop 主机中
5. 配置系统中的 systemd-journal 程序，使 journal 命令可以查看到关机前的日志

原文：http://12129857.blog.51cto.com/12119857/1863384