Linux syslog 记忆点

Linux syslog协议

syslog分为过程分为三部分
1.发送Device
2.转发 relay
3.接收Collector

syslog消息格式（此格式，会看就可以）
例：
<30>Oct 9 22:33:20 hlfedora auditd[1787]: The audit daemon is exiting.

RPI部分 “<30>”:数字30 = Facility（程序模块）* 8 + Severity/level（严重性）

Facility定义如下
Numerical Facility
Code

      0             kernel messages
      1             user-level messages
      2             mail system
      3             system daemons
      4             security/authorization messages (note 1)
      5             messages generated internally by syslogd
      6             line printer subsystem
      7             network news subsystem
      8             UUCP subsystem
      9             clock daemon (note 2)
     10             security/authorization messages (note 1)
     11             FTP daemon
     12             NTP subsystem
     13             log audit (note 1)
     14             log alert (note 1)
     15             clock daemon (note 2)
     16             local use 0  (local0)
     17             local use 1  (local1)
     18             local use 2  (local2)
     19             local use 3  (local3)
     20             local use 4  (local4)
     21             local use 5  (local5)
     22             local use 6  (local6)
     23             local use 7  (local7)

Severity的定义如下：

   Numerical         Severity
    Code

     0       Emergency: system is unusable
     1       Alert: action must be taken immediately
     2       Critical: critical conditions
     3       Error: error conditions
     4       Warning: warning conditions
     5       Notice: normal but significant condition
     6       Informational: informational messages
     7       Debug: debug-level messages

HEADER部分“Oct 9 22:33:20 hlfedora”：时间+主机名/IP
MSG部分“auditd[1787]: The audit daemon is exiting.”:包含TGA（“auditd[1787]”程名称和进程PID）和Content（自定义内容）

linux syslog

1.守护进程：syslog
2.端口：514
3.配置文件：/etc/syslog.conf

常见日志文件字段

facility:
kern 内核信息；

user 用户进程信息；

mail 电子邮件相关信息；

daemon 后台进程相关信息；

authpriv 包括特权信息如用户名在内的认证活动；

cron 计划任务信息；

syslog 系统日志信息

lpr 打印服务相关信息。

news 新闻组服务器信息

uucp uucp 生成的信息

local0----local7 本地用户信息

重要级：
debug 不包含函数条件或问题的其他信息

info 提供信息的消息

none 没有重要级，通常用于排错

notice 具有重要性的普通条件

warning 预警信息

err 阻止工具或某些子系统部分功能实现的错误条件

crit 阻止某些工具或子系统功能实现的错误条件

alert 需要立即被修改的条件

emerg 该系统不可用

操作动作
file 指定文件的绝对路径

terminal 或 prin 完全的串行或并行设备标志符

@host（@IP地址） 远程的日志服务器

linux syslog日志目录

/var/log/message 系统启动后的信息和错误日志
/var/log/secure 与安全相关的日志信息
/var/log/maillog 与邮件相关的日志信息
/var/log/cron 与定时任务相关的日志信息
/var/log/spooler 与UUCP和news设备相关的日志信息
/var/log/boot.log 守护进程启动和停止相关的日志消息
/var/log/wtmp 该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件
/var/log/alternatives.log 系统的一些更新替代信息记录
/var/log/apport.log 应用程序崩溃信息记录
/var/log/apt/history.log 使用apt-get安装卸载软件的信息记录
/var/log/apt/term.log 使用apt-get时的具体操作，如 package 的下载打开等
/var/log/auth.log 登录认证的信息记录
/var/log/boot.log 系统启动时的程序服务的日志信息
/var/log/btmp 错误登陆的信息记录
/var/log/Consolekit/history 控制台的信息记录
/var/log/dist-upgrade dist-upgrade这种更新方式的信息记录
/var/log/dmesg 启动时，显示屏幕上内核缓冲信息,与硬件有关的信息
/var/log/dpkg.log dpkg命令管理包的日志。
/var/log/faillog 用户登录失败详细信息记录
/var/log/fontconfig.log 与字体配置有关的信息记录
/var/log/kern.log 内核产生的信息记录，在自己修改内核时有很大帮助
/var/log/lastlog 用户的最近信息记录
/var/log/wtmp 登录信息的记录。wtmp可以找出谁正在登陆进入系统，谁使用命令显示这个文件或信息等
/var/log/syslog 系统信息记录