日誌管理-rsyslog日誌服務器及loganalyzer

一，日誌基礎

日誌：記錄時間，地點，任務，事件

格式：日期時間 主機 進程[pid]: 事件內容

rsyslog 特性：

多線程，UDP, TCP, SSL, TLS, RELP，MySQL, PGSQL, Oracle實現日誌存儲

強大的過濾器，可實現過濾記錄日誌信息中任意部分，自定義輸出格式

日誌分類：facility（不一樣類存放於不一樣文件）

auth, authpriv, cron, daemon,ftp,kern, lpr, mail, news, security(auth), user, uucp, local0-local7（自定義）, syslog

配置自定義的日誌設施：

在某程序配置文件內調整

SyslogFacility local0

而後在 /etc/rsyslog.conf 配置

local0.* /var/log/xxxx.log

重啓rsyslogd 和該程序

日誌優先級：

debug, info, notice, warn(warning), err(error), crit(critical), alert, emerg(panic)

配置文件：/etc/rsyslog.conf，/etc/rsyslog.d/.conf，庫文件：/lib64/rsyslog/* .so

配置文件的格式（三部分）：

MODULES：相關模塊配置

GLOBAL DIRECTIVES：全局配置

RULES：日誌記錄相關的規則配置

rules 配置格式： facility.priority; facility.priority… target

priority :

*: 全部級別

none PRIORITY =PRIORITY：僅記錄指定級別的日誌信息

target

文件路徑：一般在/var/log/，文件路徑前的-表示異步寫入 用戶：將日誌事件通知給指定的用戶，* 表示登陸的全部用戶 日誌服務器：@host，把日誌送往至指定的遠程服務器記錄 @@走tcp 管道： | COMMAND，轉發給其它命令處理

啓用網絡日誌服務（接受日誌的服務器打開）： 配置72服務器日誌轉儲73

72：vim /etc/rsyslog.conf  
authpriv.*       @192.168.36.72                               
73：
#### MODULES ####
# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514
# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514
authpriv.*     /var/log/secure  #不變
#ssh 登錄72查看 /var/log/secure 
# logger "testxxx" 人爲觸發寫入日誌

其餘日誌文件：

/var/log/secure：系統安裝日誌，文本格式，應週期性分析
/var/log/btmp：當前系統上，用戶的失敗嘗試登陸相關的日誌信息，二進制格
式，lastb命令進行查看
/var/log/wtmp：當前系統上，用戶正常登陸系統的相關日誌信息，二進制格
式，last命令能夠查看
/var/log/lastlog:每個用戶最近一次的登陸信息，二進制格式，lastlog命令
能夠查看
/var/log/dmesg：系統引導過程當中的日誌信息，文本格式,文本查看工具查看,專用命令dmesg查看
/var/log/messages ：系統中大部分的信息

日誌管理journalctl：

指定時間的日誌：

journalctl --since="2017-10-30 18:10:30"

journalctl --since "20 min ago"

journalctl --since yesterday

journalctl --since "2017-01-10" --until "2017-01-11 03:00"

journalctl --since 09:00 --until "1 hour ago"

尾部 20 條日誌 journalctl -n 20

journalctl -f 實時滾動日誌顯示

二，實驗：rsyslog 記錄到服務器數據庫

1，數據庫建立帳戶

grant all on Syslog.* to 'loguser'@'192.168.36.% ' identified by "redhat";

2,yum -y install rsyslog-mysql

3，爲syslog建立數據庫表

mysql < /usr/share/doc/rsyslog-8.24.0/mysql-createDB.sql (rpm -ql rsyslog-mysql )

4,配置rsyslog將日誌保存到mysql中

vim /etc/rsyslog.conf

#加載模塊以便rsyslog與數據庫鏈接

$ModLoad ommysql

facility.priority   :ommysql:192.168.36.73 ,Syslog,loguser, redhat （地址，databasename,user,passwd）

systemctl restart rsyslogd

5, 在72安裝httpd+php

yum install httpd php php-mysql php-gd

wget http://download.adiscon.com/loganalyzer/loganalyzer-4.1.7.tar.gz

cp -a loganalyzer-4.1.5/src /var/www/html/loganalyzer

cd /var/www/html/loganalyze

touch config.php

chmod 666 config.php

訪問首頁