linux日志服务管理

最新推荐文章于 2024-09-12 20:58:18 发布

男神彭于晏之东北分晏

最新推荐文章于 2024-09-12 20:58:18 发布

阅读量507

点赞数 26

文章标签： linux 服务器运维

本文链接：https://blog.csdn.net/adminyoyo/article/details/141954689

版权

一、rsyslog简介

Rsyslog的全称是 rocket-fast system for log
syslogd是一个守护进程，配置这整个守护进程以及其子服务的地方就是/etc/syslog.conf这个文件
syslogd有一系列的子服务，例如mail、auth、cron、kern等等，这些子服务提供日志记录的功能,。当程序要记录log时,可以直接调用这些子服务将日志记录到设定的地方。

二、rsyslog日志服务命令

检查服务是否启动

[root@localhost ~]# ps aux | grep rsyslog | grep -v grep
root      2541  0.0  0.1 425892 25472 ?        Ssl  Aug13   2:06 /usr/sbin/rsyslogd -n

2.检查服务开机自启动

[root@localhost ~]# systemctl list-unit-files rsyslog.service
UNIT FILE       STATE  
rsyslog.service enabled

1 unit files listed.

3.检查服务自身状态

[root@localhost ~]# service crond status
Redirecting to /bin/systemctl status crond.service
● crond.service - Command Scheduler
   Loaded: loaded (/usr/lib/systemd/system/crond.service; enabled; vendor preset: enabled)
   Active: active (running) since Wed 2024-08-14 16:48:03 CST; 3 weeks 1 days ago
 Main PID: 1879 (crond)
    Tasks: 1
   Memory: 652.0K
   CGroup: /system.slice/crond.service
           └─1879 /usr/sbin/crond -n

Aug 14 16:48:03 localhost.localdomain systemd[1]: Started Command Scheduler.
Aug 14 16:48:03 localhost.localdomain crond[1879]: (CRON) INFO (RANDOM_DELAY will be...)
Aug 14 16:48:03 localhost.localdomain crond[1879]: (CRON) INFO (running with inotify...)
Aug 14 16:48:03 localhost.localdomain crond[1879]: (CRON) INFO (@reboot jobs will be...)
Hint: Some lines were ellipsized, use -l to show in full.

三、常见日志格式及文件

系统日志

日志文件	说明
/var/log/cron	记录与系统定时任务相关的日志
/var/log/cups/	记录打印信息的日志
/var/log/dmesg	记录了系统在开机时内核自检的信息。也可以使用 dmseg命令直接查看内核自检信息
/var/log/btmp	记录错误登陆的日志。这个文件是二进制文件，不能直接用Vi查看，而要使用lastb命令查看。命令如下： [root@localhost]#lastb root tty1 Tue Jun 4 22:38 - 22:38 (00:00) #有人在6月4日22:38便用root用户在本地终端1登陆错误
/var/log/lastlog	记录系统中所有用户最后一次的登录时间的日志。这个文件也是二进制文件.不能直接用Vi查看。而要使用lastlog 命令查看
/var/log/mailog	记录邮件信息的日志
/var/log/messages	它是核心系统日志文件，其中包含了系统启动时的引导信息，以及系统运行时的其他状态消息。1/0错误、网络错误和其他系统错误都会记录到此文件中。其他信息，比如某个人的身份切换为root，已经用户自定义安装软件的日志，也会在这里列出。
/var/log/secure	记录验证和授权方面的信息，只要涉及账户和密码的程序都会记录，比如系统的登录、ssh的登录、su切换用户， sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中
/var/log/wtmp	永久记录所有用户的登陆、注销信息，同时记录系统的后动、重启、关机事件。同样，这个文件也是二进制文件. 不能直接用Vi查看，而要使用last命令查看
/var/tun/ulmp	记录当前已经登录的用户的信息。这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息。同样，这个文件不能直接用Vi查看，而要使用w、who

软件服务日志

日志文件	说明
/var/log/httpd/	RPM包安装的apache取务的默认日志目录
/var/log/mail/	RPM包安装的邮件服务的额外日志因录
/var/log/samba/	RPM色安装的Samba服务的日志目录
/var/log/sssd/	守护进程安全服务目录

日志的类型

日志	类型
auth	pam产生的日志
authpriv	ssh,ftp等登录信息的验证信息
cron	时间任务相关
kern	内核
lpr	打印
mail	邮件
mark(syslog)-rsyslog	服务内部的信息，时间标识
news	新闻组
user	用户程序产生的相关信息
uucp	unix to unix copy,unix主机之间相关的通讯
local 1-7	自定义的日志设备

日志的级别

日志	级别
debug	有调试信息的，日志信息最多
info	一般信息的日志，最常用
notice	最具有重要性的普通条件的信息
warning	警告级别
err	错误级别，阻止某个功能或者模块不能正常工作的信息
crit	严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert	需要立刻修改的信息
emerg	内核崩溃等严重信息

配置/etc/rsyslog.conf服务
1. /etc/rsyslog.conf 是rsyslog服务的总配置文件
2. /etc/rsyslog.d 该目录是单独配置的rsyslog配置文件
配置文件/etc/rsyslog分析

# rsyslog configuration file

# For more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html
# If you experience problems, see http://www.rsyslog.com/doc/troubleshoot.html

#### MODULES ####
#加载模块
# The imjournal module bellow is now used as a message source instead of imuxsock.
$ModLoad imuxsock # 为本地系统日志提供支持(例如通过logger命令)
$ModLoad imjournal # 提供对systemd日志的访问reads kernel messages (the same are read from journald)
#$ModLoad imklog # 读取内核消息(从journald读取)
#$ModLoad immark  # 提供——MARK——消息功能

# 提供UDP syslog接收
$ModLoad imudp  # 引用udp协议的模块
$UDPServerRun 514  # 设置udp协议使用端口

# 提供TCP syslog接收
$ModLoad imtcp  # 引用tcp协议的模块
$InputTCPServerRun 514  # 设置tcp协议使用端口


#### GLOBAL DIRECTIVES ####

# Where to place auxiliary files
$WorkDirectory /var/lib/rsyslog

# Use default timestamp format
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

$template Remote,"/var/log/%$YEAR%-%$MONTH%-%$DAY%/%fromhost-ip%.log" # 设置远程日志存放路径和文件格式 
:fromhost-ip, !isequal, "127.0.0.1" ?Remote  # 如果是本机日志则不记录

# File syncing capability is disabled by default. This feature is usually not required,
# not useful and an extreme performance hit
#$ActionFileEnableSync on

# Include all config files in /etc/rsyslog.d/
$IncludeConfig /etc/rsyslog.d/*.conf

# Turn off message reception via local log socket;
# local messages are retrieved through imjournal now.
$OmitLocalLogging on

# File to store the position in the journal
$IMJournalStateFile imjournal.state


#### RULES ####

# Log all kernel messages to the console.
# Logging much else clutters up the screen.
# 关于内核的所有日志都放到/dev/console(控制台)
#kern.*                                                 /dev/console  

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
# 记录所有日志类型的info级别以及大于info级别的信息到/var/log/messages，但是mail邮件信息，authpriv验证方面的信息和cron时间任务相关的信息除外
*.info;*.alert;*.crit;;mail.none;authpriv.none;cron.none                 /var/log/messages

# The authpriv file has restricted access.
# authpriv验证相关的所有信息存放在/var/log/secure
authpriv.*                                              /var/log/secure

# Log all the mail messages in one place.
# 邮件的所有信息存放在/var/log/maillog; 这里有一个-符号, 表示是使用异步的方式记录, 因为日志一般会比较大
mail.*                                                  -/var/log/maillog


# Log cron stuff
# 计划任务有关的信息存放在/var/log/cron
cron.*                                                  /var/log/cron

# Everybody gets emergency messages
# 启动的相关信息
*.emerg                                                 :omusrmsg:*

# Save news errors of level crit and higher in a special file.

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log


# ### begin forwarding rule ###
# The statement between the begin ... end define a SINGLE forwarding
# rule. They belong together, do NOT split them. If you create multiple
# forwarding rules, duplicate the whole block!
# Remote Logging (we use TCP for reliable delivery)
#
# An on-disk queue is created for this action. If the remote host is
# down, messages are spooled to disk and sent when it is up again.
#$ActionQueueFileName fwdRule1 # unique name prefix for spool files
#$ActionQueueMaxDiskSpace 1g   # 1gb space limit (use as much as possible)
#$ActionQueueSaveOnShutdown on # save messages to disk on shutdown
#$ActionQueueType LinkedList   # run asynchronously
#$ActionResumeRetryCount -1    # infinite retries if host is down
# remote host is: name/ip:port, e.g. 192.168.0.1:514, port optional
#*.* @@remote-host:514
# ### end of the forwarding rule ###