理论+实验：详细解析Linux的文件系统与日志分析

一 inode与block

1.1 inode和block概述

■文件数据包括元信息与实际数据
■文件存储在硬盘上，硬盘最小存储单位是“扇区”，每个扇区存储512字节
■block（块）
●连续的八个扇区组成一个block
●是文件存取的最小单位
■inode（索引节点）
●中文译名为“索引节点”，也叫i节点
●用于存储元件元信息

1.2 inode的内容

■inode包含文件的元信息
●文件的字节数
●文件拥有者的User ID
●文件的Group ID
●文件的读，写，执行权限
●文件的时间戳
●…
■用stat命令可以查看某个文件的inode信息
●示例

■Linux系统文件三个主要的时间属性
●ctime（change time）：最后一次改变文件或目录（属性）的时间，例如执行chmod，chown等命令
●atime（access time）：最后一次访问文件或目录的时间
●mtime（modify time）：最后一次修改文件或目录（内容）的时间
■目录文件的结构
●目录也是一种文件
●目录文件的结构

■每个inode都有一个号码，操作系统用inode号码来识别不同的文件
■Linux系统内部不使用文件名，而使用inode号码来识别文件
■对于用户，文件名只是inode号码便于识别的别称

1.3 inode的号码

■用户通过文件名打开文件时，系统内部的过程
①系统找到这个文件名对应的inode号码
②通过inode号码，获取inode信息
③根据inode信息，找到文件数据所在的block，读出数据
■查看inode号码的方法
●ll -i命令：直接查看当前目录文件名的所对应的inode信息
●ls -ai命令：直接查看当前目录的文件及隐藏文件的所对应的inode信息
●stat命令：通过查看文件inode信息而查看到inode号码

1.4 文件存储小结

■硬盘分区后的结构

■访问文件的简单流程

1.5 inode的大小

■inode也会消耗硬盘空间
●每个inode的大小
●一般是128字节或256字节
■格式化文件系统时确定inode的总数
■使用df -i命令可以查看每个硬盘分区的inode总数和已经使用的数量

1.6 inode的特殊作用

■由于inode号码与文件名分离，导致一些Unix/Linux系统具有以下的现象
●当文件名包含特殊字符，可能无法正常删除文件，直接删除inode，也可以删除文件
●移动或重命名文件时，只改变文件名，不影响inode号码
●打开一个文件后，系统通过inode号码来识别该文件，不再考虑文件名

二 硬链接与软链接

2.1 链接文件

■为文件或目录建立链接文件
■链接文件分类

■为文件或目录建立链接文件
■链接文件分类
●硬链接
一般情况下，文件名和inode号码是一一对应关系，每个inode号码对应一个文件名。但是Linux系统允许多个文件名指向同一个inode号码，这意味着，可以不同的文件名访问同样的内容，ln命令可以创建硬链接，命令格式为：
ln 【源文件】 【目标位置】
运行该命令以后，源文件与目标文件的inode号码相同，都是指向同一个inode，inode信息中的连接数这时就会增加1。当一个文件拥有多个硬链接时，对文件内容修改，会影响所有文件名，但是删除一个文件名，不会影响另一个文件名称访问，删除一个文件名，只会inode中的连接数减1，需要注意的是不能对目录做硬链接。
●软链接
软链接就是创建一个独立的文件，而这个文件会让数据的读取指向它连接的那个文件名称。例如，文件A和B的inode号码虽然不一样，但是文件A的内容是文件B的路径，读取文件A时系统会自动访问者导向文件B，这时，文件A就称为文件B的“软链接”
ln -s 【源文件或目录】… 【链接文件或目标位置】

三 恢复误删除的文件

3.1 编译安装extundelete

说明：在编译安装extundelete之前需要安装两个依赖包，在完成安装依赖包之后，将提前上传的extundelete软件包解压，配置，编译，安装

3.2 模拟删除并执行恢复操作

3.3 模拟误操作并恢复

3.4 xfs类型文件备份和恢复

extundelete工具仅可以恢复EXT类型的文件，无法恢复CentOS7系统默认采用xfs类型的文件。针对xfs类型的文件可使用xfsdump与xfsrestore工具进行备份恢复。若系统为安装xfsdump与xfsrestore工具，可以通过yum -y install xfsdump命令安装。xfsdump按照inode顺序备份一个xfs系统。Xfsdump的备份级别有两种：0表示完全备份；1-9表示增量备份。备份级别默认为0。

四 分析日志文件

4.1 日志文件

■日志的功能
●用于记录系统，程序运行中发生的各种事件
●通过阅读日志，有助于诊断和解决系统故障
■日志文件的分类
●内核及系统文件：由系统服务rsyslog统一进行管理，日志格式基本相似
●用户日志：记录系统用户登录及退出系统的相关信息
●程序日志：由各种应用程序独立管理的日志文件，记录格式不统一
■日志保存位置
●默认位于：/var/log目录下
■主要日志文件介绍

■日志文件分析
分析日志文件的目的在于通过浏览日志查找关键信息，对系统服务进行调试，以及判断发生故障的原因等。

4.2内核及系统日志

■由系统服务rsyslog统一管理
●软件包：rsyslog-7.4.7-16.e17.x86_86
●主要程序：/sbin/rsyslogd
●配置文件：/etc/rsyslog.conf
■日志消息的级别

■日志记录的一般格式

4.3 用户日志分析

■保存了用户登录，退出系统等相关信息
●/var/log/lastlog:最近的用户登录事件
●/var/log/wtmp:用户登录，注销及系统开，关机事件
●/var/log/utmp:当前登录的每个用户的详细信息
●/var/log/secure:与用户验证相关的安全性事件
■分析工具
●users，who，w，last，lastb
■命令详解
●users：只是简单地输出当前登录的用户名称，每个显示的用户名对应一个登录会话
●who：用于报告当前登录到系统的每个用户的信息。默认输出包括用户名，终端类型，登录日期及远程主机
●w：用于显示当前系统中的每个用户及其所运行的进程信息，比users，who命令的输出内容要更加丰富一些
●last：用于查询成功登录到系统的用户记录，最近的登录情况将显示在最前面
●lastb：用于查询登录失败的用户记录，如登录的用户名错误，密码不正确等情况都将记录在案。

4.4 程序日志分析

■由相应的应用程序独立进行管理
●Web服务：/var/log/httpd/
access_log、error_log
●代理服务：/var/log/squid/
access_log、cache_log、
●FTP服务：/var/log/xferlog
■分析工具
●文本查看，grep过滤检索，Webmin管理套件中查看
●awk，sed等文本过滤，格式化编辑工具
●Webalizer，Awstats等专用日志分析工具

4.5 日志管理策略

■及时作好备份和归档
■延长日志保存期限
■控制日志访问权限
●日志中可能会包含各类敏感信息，如账户，口令等
■集中管理日志
●将服务器的日志文件发到统一的日志文件服务器
●便于日志信息的统一收集，整理和分析
●杜绝日志信息的意外丢失，恶意篡改或删除