Linux学习 日志管理

14 日志管理

(1) 概述

日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等。
//日志是用来记录重大事件的工具

(2) 常用日志

// /var/log/目录就是系统日志文件的保存位置
系统启动日志 [/var/log/boot.log]
记录与系统定时任务相关的日志 [/var/log/cron]
记录打印信息的日志 [/var/log/cups/]
记录了系统在开机时内核自检的信息。也可以使用dmesg命令直接查看内核自检信息 [/var/log/dmesg]
记录错误登陆的日志 [/var/log/btmp]
//这个文件是二进制文件，不能直接用[Vi /ar/g/btmp]查看，而要使用[lastb]命令查看。
记录系统中所有用户最后一次的登录时间的日志 [/var/log/lasllog]
//这个文件是二进制文件，不能直接用[Vi /var/log/lasllog]查看，而要使用[lastlog]命令查看。
记录邮件信息的日志 [/var/log/mailog]
记录系统重要消息的日志 [/var/log/message]
//这个日志文件中会记录Linux系统的绝大多数重要信息。如果系统出现问题，首先要检查的应该就是这个日志文件。
记录验证和授权方面的倍息 [/var/log/secure]
//只要涉及账户和密码的程序都会记录，比如系统的登录、ssh的登录、su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中。
永久记录所有用户的登陆、注销信息，同时记录系统的后动、重启、关机事件。 [/var/log/wtmp]
//这个文件是二进制文件，不能直接用[Vi /var/log/wtmp]查看，而要使用[last]命令查看。
记录当前已经登录的用户的信息 [/var/tun/ulmp]
//这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息。这个文件不能用Vi查看，而要使用[w]、[who]、[users]等命令查看。

(3) 日志管理服务rsyslogd

//rsyslogd作用是将信息写入日志。
<1> 概述
<1.1> 日志管理服务rsyslogd主要作用是将各种信息写入日志。若rsyslogd启动且为自启动状态时，rsyslogd会根据配置文件/etc/rsyslogd.conf中的规则，将不同类型的消息分别写入到不同配置文件。
<1.2> CentOS7.6日志服务是rsyslogd，CentOS6.x日志服务是syslogd。rsyslogd功能更强大。rsyslogd的使用、日志文件的格式和syslogd服务兼容的。
<2> 常用命令
<2.1> 查询Linux中的rsyslogd服务是否启动 [ps aux | grep "rsyslog" | grep -v "grep"]
//[grep -v 关键词] 代表反向筛选，即筛选出没有关键词的选项。
<2.2> 查询rsyslogd服务的自启动状态 [systemctl list-unit-files | grep rsyslog]
<3> 配置文件/etc/rsyslog.conf格式
<3.1> 编辑文件时的格式
    [日志类型.日志级别      /var/log/日志文件名]
    //可以通过该格式编辑配置文件，将自定义日志添加到配置文件。
<3.2> 日志类型

  *：代表所有类型
    auth：pam产生的日志
    authpriv：ssh、ftp等登录信息的验证信息
    corn：时间任务相关
    kern：内核
    lpr：打印
    mail：邮件
    mark(syslog)-rsyslog：服务内部的信息，时间标识
    news：新闻组
    user：用户程序产生的相关信息
    uucp：unix to nuix copy 主机之间相关的通信
    local 1-7：自定义的日志设备
<3.3> 日志级别

  *：代表所有级别
    debug：有调试信息的，日志通信最多
    info：一般信息日志，最常用
    notice：最具有重要性的普通条件的信息
    warning：警告级别
    err：错误级别，阻止某个功能或者模块不能正常工作的信息
    crit：严重级别，阻止整个系统或者整个软件不能正常工作的信息
    alert：需要立刻修改的信息
    emerg：内核崩溃等重要信息
    none：什么都不记录
    //注意从上到下，级别从低到高，记录信息越来越少
<4> 日志文件的格式
    [事件时间   主机名   服务名/程序名   事件具体信息]

(4) 日志轮替服务logrotate

//logrotate作用是将日志轮替。
<1> 概述
<1.1> 日志轮替服务logrotate主要作用是将日志轮替。根据配置文件/etc/logrotate.conf当中的规则，将日志轮替。
<1.2> 日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除。
<1.3> centos7使用logrotate进行日志轮替管理。
<2> 配置文件/etc/logrotate.conf参数
    daily：日志的轮替周期是每天
    weekly：日志的轮替周期是每周
    monthly：日志的轮替周期是每月
    rotate 个数：保留的日志文件的个数。0指没有备份。
    compress：日志轮替时，旧的日志进行压缩
    create 权限 所有者 所属组：建立新日志，同时指定新日志的权限与所有者和所属组。
    mail 邮件地址：当日志轮替时，输出内容通过邮件发送到指定的邮件地址。
    missingok：如果日志不存在，则忽略该日志的警告信息
    notifempty：如果日志为空文件，则不进行日志轮替
    minsize 大小：日志轮替的最小值。也就是日志一定要达到这个最小值才会轮替，否则就算时间达到也不轮替
    size 大小：日志只有大于指定大小才进行日志轮替，而不是按照时间轮替。
    dateext：使用日期作为日志轮替文件的后缀。
    sharedscripts 脚本.sh：在此关键字之后的脚本只执行一次。
    prerotate/endscript 脚本.sh：在日志轮替之前执行脚本命令。
    postrotate/endscript 脚本.sh：在日志轮替之后执行脚本命令。
<3> 将自定义日志加入日志轮替

/var/log/日志名
{
    参数1(配置文件/etc/logrotate.conf参数)
    参数2
    ......
}

<3.1> 第一种方法是直接在/etc/logrotate.conf配置文件中写入该日志的轮替策略。
//写在最下方。/etc/logrotate.conf配置文件是对日志的全局管理，而对特定日志的管理优先级高于全局管理。
<3.2> 第二种方法是在/etc/logrotate.d/目录中新建立该日志的轮替文件(直接以日志名为名新建文件，无需扩展名)，在该轮替文件中写入正确的轮替策略，因为该目录中的文件都会被“include”到主配置文件中，所以也可以把日志加入轮替。
<3.3> 推荐使用第二种方法，因为系统中需要轮替的日志非常多，如果全都直接写入/etc/logrotate.conf配置文件，那么这个文件的可管理性就会非常差，不利于此文件的维护。
<4> 日志轮替原理
日志轮替之所以可以在指定的时间备份日志，是依赖系统定时任务。在 /etc/cron.daily/目录，就会发现这个目录中是有logrotate文件(可执行)，logrotate通过这个文件依赖定时任务执行的。

(5) 查看内存日志

查看全部 [journalctl]
查看最新3条 [journalctl -n 3]
查看起始时间到结束时间的日志可加日期 [journalctl --since hh:mm:ss --until hh:mm:ss]
报错日志 [journalctl -p err]
日志详细内容 [journalctl -o verbose]
查看包含这些参数的日志 [journalctl _PID=进程号 _COMM=进程名]或者[journalctl | grep sshd]
//注意: journalctl查看的是内存日志，重启清空。