文件系统与日志分析笔记

inode：i节点（索引号）

     元数据（mate data）

     xfs：512字节

     ext4：256字节

block：块

      xfs文件系统：4096

      磁盘：1024

      扇区：512

stat：可以查看inode信息

更改文件的属性，最近改动：时间会更新到最新时间，其余不变,改动文件信息等则时间都会更新到当前时间

mkfs.etx4 格式化后可以用 dumpe2fs -h 来查看磁盘信息

mkfs.xfs 格式化后

mkfs.xfs -f 可以强制格式化

mkfs.xfs -f /dev/sdb1 ：

-b size 可以修改block字节大小

i size  可以修改inode字节大小

mkfs.ext4 ：

-b可以修改block磁盘大小

-i 可以修改inode磁盘大小

-N 可以调节数量大小尽量不要太小

df -i 后面跟磁盘分区可以单独列出该磁盘挂载信息

xfs_growfs -m 可以设置inode的占磁盘大小的百分比

xfs_growfs：用于扩展XFS文件系统大小命令，可以增加XFS文件中系统所挂载的分区容量mkfs.ext4 ：

误删除文件的处理方法：

1.先放进去一个extundelete-0.2.4 tar.bz2的压缩

2.用yum命令安装一下该软件包的依赖包

3.yum -y install e2fsprogs-devel e2fsprogs-libs gcc*安装一下

4.解压一下该安装包  tar xvf extundelete-0.2.4 tar.bz2

5.cd 进去

6../configure --prefix=/usr/local/extundelete

configure:配置，编译的前奏  prefix：指定安装参数.后面可跟任意路径

7.将源码包编译成二进制代码文件make

8.make install 安装一下

9.ln -s /usr/local/extundelete/bin/* /usr/bin/将上一步安装完后显示的路径撞见一个软连接

则完成恢复extundelete针对ext3文件

然后将mkfs格式化成ext3文件，然后挂载一下

在取消挂载时取消不了的话可以用losf或fuser 

方法1:跟一个-mv 后面跟取消挂载的分区可以查看该进程

接着用kill -9 命令杀掉对应的进程号

方法2：没有设置永久挂载的话可以直接重启

restore恢复：-all可以恢复所有

恢复的数据会生成一个 recovered_files目录

covered覆盖 recovered重新覆盖

如果是xfs文件可以安装一个xfsdump

用xfsrestore -f来恢复文件

日志串联：
起名字 hostname master
bash(101)
hosrname node1、2
bash(102.103)
右键空白发送输入到所有会话同步主机命令
编辑文件   vim /etc/host
写编辑的主机及对应的名字
关闭防火墙   systemctl stop firewalld
关闭内核     setenforce 0
关闭同步
编辑配置文件    vim /etc/rsyslog.conf查看有Include Config /etc/rsyslog.d/*.conf即可，不用改动里面的内容
cd /etc/rsyslog.d不用管此文件
直接编辑   vim mylog.conf
粘贴提供的代码内容进去
创建一个目录   mkdir -p /opt/data/log
重启   systemctl restart rsyslog
去102或者103此时两台主机处于同步状态
cd /etc/rsyslog.d
编辑创建文件   vim mylog.conf
信息在文件里面找
保存退出后，重启一下   systemctl restart rsyslog
重启完成切换到101
cd /data/log 可以看到102和103的日志文件
单独放置日志信息到一个指定的目录
修改文件   vim /etc/rsyslog.conf
在local7.*后面添加上local0.* 后面加上存储路径/opt/sshd.log保存退出（这一步骤是将local0传输过来的日志文件保存在一个指定的目录中但是未设置local0是谁，所以还要设置local0是谁)
打开要放在这里的文件，这里放置的是ssh的日志文件所以编辑ssh文件   vim /etc/ssh/sshd_config
打开后直接搜索/SyslogF在31行，删除注释，后面改为local0
改过两个服务，将两个服务依次重启
systemctl restart rsyslog
systemctl restart sshd
重启完成后可以查看sshd放置的文件是否生效
cat /opt/sshd.log
日志切割
以单独放置的sshd.log为例切割日志
cd /etc/cron.daily/（此位置设置周期性执行的文件，这里是天，代表每天都执行此文件）
vim /etc/logrotote.conf
找个位置放置文档的代码
重启服务systemctl restart rsyslog
测试   
执行指令logrotate -vf /etc/lohrotate.conf

---

---

---