Linux日誌管理

Linux日誌管理

原文連接：https://blog.csdn.net/wanghu66/article/details/83061119

1、日誌來源

日至由程序產生，存儲在內存條中

一、日誌的查看

> /nar/log/messages ##清空目錄內容

cat /var/log/messages ##查看日誌
systemctl start rsyslog.service ##加載日誌收集

/var/log/secure ##系統登錄日誌
/var/log/cron ##定時任務日誌
/var/log/maillog ##郵件日誌
/var/log/boot.log ##系統啓動日誌

二、日誌的類型分爲:

auth ##pam產生的日誌

authpriv ##ssh,ftp等登錄服務的驗證信息

cron ##時間任務相關

kern ##內核

lpr ##打印

mail ##郵件

mark（syslog)-rsyslog ##服務內部的信息，時間標示

news ##新聞組

user ##用戶程序產生的相關信息

uucp ##unix to unix copy,unix主機之間相關的通信

local 1～7 #自定義的日誌設備

三、日誌級別分爲：

debug ##有調式信息的，日誌信息最多

info ##通常信息的日誌，最經常使用

notice ##最具備重要性的普通條件信息

warning ##警告級別

err ##錯誤級別，組織某個功能或者模塊不能正常工做的信息

crit ##嚴重級別，組織整個系統或者整個軟件不能正常工做的信息

alert ##須要馬上修改的信息

emerg ##內核崩潰等嚴重信息

none ##什麼都不記錄

注意 ：日誌級別從上到下，級別從底到高，記錄的信息愈來愈少，--man 3 syslog

2、日誌同步

發送端
一、修改發送方式 vim /etc/rsyslog.conf

發送方式有兩種TCP和UDP，一個@符表示發送方式是UDP，兩個@@符則表示發送TCP

二、重起服務 systemctl restart rsyslog.service
三、寫日誌 logger hello

接收端
一、關閉防火牆 systemctl stop firewalld
二、修改接收方式 vim /etc/rsyslog.conf

發送方式爲UDP則修改15行和16行 顯示行號：set nu

​

發送TCP則修改19行和20行

三、重起服務 systemctl restart rsyslog.service

四、查看結果

查看前先清空日誌文件

> /var/log/messages

cat /var/log/messages

五、實時監控日誌

tail -f /var/log/messages

3、日誌採集格式

接收方

vim /etc/rsyslog.conf
行添加：$template WESTOS,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

%timegenerated% ##顯示日誌時間
%FROMHOST-IP% ##顯示主機ip
%syslogtag% ##日誌記錄目標
%msg% ##日誌內容
\n ##換行

54行輸出添加： /var/log/messages;WESTOS

而後重起服務 systemctl restart rsyslog.service

查看效果

4、時間同步服務

服務端：
一、修改參數 vim /etc/chron.conf
二、重起服務 systemctl restart chrony.service
三、date ##查看當前時間

修改部分 22行改服務地址 29行啓用

客戶端：
一、修改參數 ##vim /etc/chrony.conf
二、重起服務 ##systemctl restart chronyd.service
三、查看時間 ##date
四、查看同步來源 chronyc sources -V

改到同步的服務器地址

5、設置系統時間

timedatectl ##查看系統時區

timedatectl list-timezones ##查看所有時區

timedatectl set-timezone Asis/Shanghai ##設定時區爲上海

timedatectl set-local-rtc 1 ##系統時間改成硬件時間 RTC->local time

timedatectl set-local-rtc o ##硬件時間同步約定時間 RTC->universal time

6、查看內存日誌

journalctl ##查看所有

journalctl -n 3 ##查看最新3條

journalctl --since 19:00 --until 19:10:10 #查看起始時間到結束時間的日誌可加日期

journalctl -p err ##報錯日誌

journalctl -o verbose ##日誌詳細內容

journalctl _PID=1245 _COMM=sshd ##查看包含這些參數的日誌（在詳細日誌查看）

journalctl
systemctl status sshd ##打開進程
systemctl restart sshd.service ##重起進程

reboot ##重起之前的日誌丟失（存在內存 斷電清空）

7、讓系統採集 journal信息

一、創建journal文件 ##mkdir /var/log/journal
二、添加組成員 ##chgrp systemd-journal /var/log/journal/ 組是自動建立的
三、設置任何文件都屬於組 ##chmod g+s /var/log/journal
四、查看進程PID ##ps aux | grep systemd-journal
五、不斷電重起進程 kill -1 352

默認狀況下，systemd日誌保存在/run/log/journal中，系統重啓時會被清除

若是將日誌保存在/var/log/journal目錄，啓動後就能夠利用歷史數據，造成永久日誌

查看重起前的日誌存放 bootctl ##查看硬件地址