《Linux菜鳥入門》系統日誌

系統日誌

1.系統默認分類

 

 /var/log/messages  系統服務及日誌包括服務的信息 報錯

 /var/log/secure     系統認證信息日誌

 /var/log/maillog    系統郵件服務信息

 /var/log/cron       系統定時任務信息

 /var/log/boot.log   系統啓動信息

 

2.日誌管理服務rsyslog。service

 

 1.rsyslog採集分類日誌，不是生成

 2.rsyslog日誌分類

   /etc/rsyslog.conf  主配置文件

  *.*                存放文件

  服務.日誌級別        /var/log/westos

 

 systemctl restart rsyslog 在修改完配置文件後要重啓rsyslog服務

 

3.日誌分析工具journal

 

 systemd-journald   進程名稱

 journalctl       直接執行，瀏覽系統日誌

 journalctl -n 5  最新5條

 journalctl -p err  顯示報錯

 journalctl -f    監控日誌生成  =tail -f

 journalctl --since 」toda【yyyyy-mm-dd】【hh：mm：ss】「 --until「」

 journalctl -o verbose 顯示日誌可以使用的詳細進程參數

                      _SYSTEMD_UNIT=sshd.server 服務名稱

                      _PID   進程PID

 

對systemd-journald的管理

 

   默認狀況下此程序會忽略重啓以前的日誌信息，如不忽略 ，操做以下

mkdir /\u52a1\u540d\u79f0

130                                 ##_PID=1182\u8fdb\u7a0bpid

 

4.格式

  日誌設備類型.日誌級別    日誌處理方式

  auth                 pam產生的日誌

  authpriv             ssh。ftp 等登錄信息的驗證信息

cron                 時間任務相關

  kern                 內核

  lpr                  打印

  mail                 郵件

  mark(syslog)-rsyslog 服務內部的信息，時間標示

  news                 新聞組

  user                 用戶程序產生的相關信息

  uucp                 unix to unix copy，unix主機之間相關的通信

  local 1~7            自定義的日誌設備

 

5.日誌級別

  

   debug     有調試信息的，日誌信息最多

   info      通常信息的日誌，最經常使用

   notice    最具備重要性的普通條件的信息

   warning   警告級別

   err       錯誤級別，阻止某個功能或者模塊不能正常工做的信息

   crit      嚴重級別 ，阻止整個系統或者整個軟件不能正常工做的信息

   alert     須要當即修改的信息

   emerg     內核崩潰等嚴重信息

   none      什麼都不記錄

 

   注意：從上到下，級別從高到底，記錄的信息愈來愈少

   詳細能夠查看手冊：man 3 syslog

 

6.鏈接符號

   

   .xxx  表示大於等於xxx級別的信息

   .=xxx 表示等於xxx級別的信息

   .！xxx 表示在xxx以外的級別信息

 

7.示例

 

  1.記錄到普通文件或設備文件：

  

     *.*  /var/log/file.log

     *.*  /dev/pts/0

        logger -p local3,info 'KadeFor is testing the rsyslog and logger'

 

   2.發送給用戶（須要在線才能收到）

 

    *.* root               使用，號分隔多個用戶

     *.* root,kadefor,up01  *表示全部在線用戶

     *.* *                 

    3.忽略，丟棄

    local.* ～ 忽略全部local3類型的全部級別的日誌

 

   4.執行腳本

    

      local3.*  ^/tmp/a.sh   ^號後跟可執行腳本或程序的絕對路徑

 

8.日誌同步

  

  systemctl stop firewalld  關閉兩臺主機的防火牆

日誌發送方

 *.* @172.25.0.11   經過udp協議把日誌發送到11主機  @ udp   @@tcp

日誌接受方

 

  $ModLoad imudp      日誌接收插件

  $UDPServerRun 514   日誌接受插件使用端口、

 

9.日誌採集格式

  

   $template WESTOS,"timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

   messages後加上WESTOS