ssh日志的独立与ssh远程日志

日志相关介绍：

1.系统日志：是记录了历史事件：包括时间地点人物事件等。日志级别：事件的关键性程度，Loglevel。

级号	消息	级别	说明
0	EMERG	紧急	会导致主机系统不可用的的情况
1	ALERT	警告	必须马上采取措施解决的问题
2	CRIT	严重	比较严重的情况
3	ERR	错误	运行出现错误
4	WARNING	提醒	可能会影响系统功能的事情
5	NOTICE	注意	不会影响系统但值得注意
6	INFO	信息	一般信息
7	DEBUG	调试	程序或系统调试信息等

rsyslog系统日志服务是软件帮助管理日志。

2.主要日志文件介绍：

内核及公共消息日志：/var/log/messages

计划任务日志：/var/log/cron

系统引导日志：/var/log/dmesg

邮件系统日志：/var/log/maillog

用户登录日志：/var/log/lastlog；/var/log/secure；/var/log/wtmp；/var/run/btmp

日志	作用	命令
btmp	查看登录失败的用户	lastb
lastlog	查看用户最后一次登录的情况	lastlog
wtmp	用户成功登录的日志	last

3.查看配置文件：rpm -qc rsyslog看到配置文件在/etc下的rsyslog.conf文件。

程序包：rsyslog。主程序：/usr/sbin/rsyslogd。库文件：/lib64/rsyslog/*.so

打开rsyslog的配置文件。vim /etc/rsyslog.conf。可以看到该文件中有三部分组成：

MODULES：相关模块配置；

GLOBAL DIRECTIVES：全局配置；

全局配置

RULES：日志记录相关的规则配置；如图：

*.info;mail.none;authpriv.none;cron.none                /var/log/messages

*.info：*代表任意程序的日志,级别在info及以上就会生成日志文件并记录在指定的日志文件中。除了mail,authpriv,cron不记日志。none：没有级别，即不记录。

/var/log/messages：日志文件路径。

在RULES中还有一行：

这里的local7.* /var/log/boot.log是自定义的分类，范围在：local0-local7。这里的是默认的。

实验一：ssh日志的独立

步骤：1.修改日志配置文件(不知道在哪里，可以rpm -qc rsyslog查询)。2.修改ssh配置文件。3.重启服务。4.测试。

查询配置文件：rpm -qc rsyslog。配置文件：/etc/rsyslog.conf

1.打开配置文件：vim /etc/rsyslog.conf，在RULES下修改：自定义的配置文件。我在根下创建了一个data目录

2.打开ssh的配置文件，在/etc/ssh/sshd_config，复制32行，粘贴到33行，可以删除32行，最好注释就行以防以后找不到

3.重启服务：systemctl restart sshd rsyslog.service。关闭防火墙，关闭核心防护。重启服务。

4.测试：实时查看日志文件：tail -f /data/ssh.log

用另一台机器7-2远程登录7-1：ssh 192.168.114.10:

实时查看7-1的日志信息：

完成！

实验二：ssh远程日志

步骤：1.修改两台机器的配置文件。2.重启服务。3.测试。

还原实验一的修改信息或者直接还原快照！重新来做实验二

远程日志就是把日志写到远端机器上去。做把7-1的日志信息，远程到7-2机器上。即7-1机器是客户端，7-2机器是服务端

1.修改配置文件：

打开vim /etc/rsyslog.conf。把MODULES模块的19行20行打开，使用TCP服务，514是端口号

两台机器都要打开这两行！！！

7-1还要再修改RULES模块:日志的位置。默认在7-2机器中/var/log/messages日志中生成。

一个@符代表UDP连接，两个@代表TCP连接。我们开启的是TCP。指定远程到的机器上。

2.重启服务：systemctl restart rsyslog.service。两台机器都要重启服务，关闭防火墙，关闭核心防护，查看端口是否开启。

3.测试：实时查看服务端的日志文件：tail -f /var/log/messages

在7-1机器中写入日志文件，测试：logger "Log file from 192.168.114.10"写日志进去.实时观察服务端日志信息。

实时查看服务端日志文件：

endl