###系统日志管理##

一，查看系统中的日志
1，rsyslog 此服务是用来采集日志的，他不产生日志，只起到采集的作用。
2，rsyslog 服务的管理
1）日志存储文件的分类：

/var/log/messages	服务信息日志
/var/log/secuer	系统登陆日志
/var/log/cron	定时任务日志
/var/log/maillog	邮件日志
/var/log/boot.log	系统启动日志

2）日志的类型分为：

auth	pam产生的日志
cron	时间任务相关
kern	内核
lpr	打印
mail
mark (syslog) -rsyslog	服务内部的信息，时间标识
user	用户程序所产生的相关信息
uucp	unix to unix copy , nuix 主机之间相关的通讯
news	新闻组
local 1-7	自定义的日志设备
authpriv	ssh.ftp 等登陆信息的验证信息

3）日志的级别

debug	有调试信息的，日志信息最多
info	一般信息的日志，最常用
notice	最具有重要性的普通条件的信息
warning	警告级别
err	错误级别，阻止某个功能或者模块不能正常工作的信息
crit	严重级别，阻止某个系统或者整个软件不能正常工作的信息
alert	需要立即修改的信息
emerge	内核崩溃等严重信息
none	什么度不记录

注：从上到下，级别由低到高，记录的信息越来越少。
3，日志的远程传输：
第一步，在日志的发送方，编辑文件vim /etc/rsyslog.conf，如下图所示：

然后输入命名：systemctl restart rsyslog ##重新启动日志服务器。

第二步：在日志的接受方编辑文件 vim /etc/rsyslog.conf,在文件的15.16行删除#号键即可。
然后输入命名：systemctl restart rsyslog ##重新启动日志服务器。

systemctl stop firewalld 关闭接受方的防火墙。
systemctl disable firewalld 设定防火墙开机时关闭。

第三步：测试：在发送方跟接受方度清空日志文件。
在日志的发送方：
> /var/log/messages ##清空日志
logger test ##发送文件“test"
cat /var/log/messages ##查看是否有这个文件。

在日志的接受方：
> /var/log/messages ##清空日志
cat /var/log/messages ##查看是否有这个文件。

4，日志采集格式的设定：

%timegenerated%	显示日志时间
%FROMHOST-IP%	显示主机IP
%syslogtag%	日志记录目标
%msg%	日志内容
\n	换行

##$template WESTOS, “%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n” ##设置WESTOS的日志采集格式

注意：* . * /var/log/messages;WESTOS ####在这个日志下使用WESTOS的日志采集格式
用命令：cat /var/log/messages ##查看该文件下的日志是否为WESTOS的显示格式
5，时间同步服务
服务名称：chronyd
编辑文件：vim /etc/chrony.conf
22行 allow 172.25.254.0/24 ##允许哪些来同步本机时间
29行 local stratum 10 //本机不同步任何主机的时间，本机作为时间源
##在服务端##

最后重新启动服务器，方便录入已经改变的信息：systemctl restart chronyd.service
##在客户端##
编辑文件：vim /etc/chrony.conf
server 1.1.1.123 iburst ##本机立即同步123主机的时间
重新启动服务器，方便录入已经改变的信息：systemctl restart chronyd.service
测试：
在客户端：chronyc sources -v

最后查看时间服务端跟客户端的时间是否一致。

6，管理系统时间
命令：timedatectl
timedatectl status ##显示当前时间信息

7，journalctl //日志查看工具

journalctl -n 3	查看最近三条日志
journalctl -p err	查看错误日志
ournalctl -o verbose	查看日志的详细参数

命令：journalctl --since ##查看从什么时候开始的日志

命令：journalctl --until ##查看到什么时间为止的日志

命令：journalctl --since “03:31：55” --until “03：32”

8，如何使用system-journald保存系统日志
注：默认systemd-journald是不保存系统日志到硬盘的，那么关机以后再次开机只能看到本次开机之后的日志，上一次关机之前的日志是无法查到的
mkdir /var/log/journal
chgrp systemd-journal /var/log/journal
chmod g+s /var/log/journa
killall -1 systemd-journald ##重启配置
ls /var/log/journall
946cb0e817eadb916183df8c4fc817