Linux基础：日志管理

一、日志管理简介

1. 日志服务：

在CentOS 6.x中日志服务已经由rsyslogd取 代了原先的syslogd服务。rsyslogd日志服 务更加先进，功能更多。但是不论该服务 的使用，还是日志文件的格式其实都是和 syslogd服务相兼容的，所以学习起来基本 和syslogd服务一致。

2. rsyslogd的新特点：

基于TCP网络协议传输日志信息；
更安全的网络传输方式；
有日志消息的及时分析框架；
后台数据库；
配置文件中可以写简单的逻辑判断；
与syslog配置文件相兼容。

3. 日志文件：

日志文件	说明
/var/log/cron	记录了系统定时任务相关的日志。
/var/log/cups/	记录打印信息的日志
/var/log/dmesg	记录了系统在开机时内核自检的信息。也可以使用 dmesg命令直接查看内核自检信息。
/var/log/btmp	记录错误登录的日志。这个文件是二进制文件，不能 直接vi查看，而要使用lastb命令查看，命令如下： [root@localhost log]# lastb root tty1 Tue Jun 4 22:38 - 22:38 (00:00) # 有人在 6 月 4 日 22:38 使用 root 用户 ， 在本地终端 1 登录错误
/var/log/lastlog	记录系统中所有用户最后一次的登录时间的日志。这 个文件也是二进制文件，不能直接vi，而要使用lastlog 命令查看。
/var/log/maillog	记录邮件信息。
/var/log/message	记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大 多数重要信息，如果系统出现问题时，首先要检查的就应该是这个 日志文件。
/var/log/secure	记录验证和授权方面的信息，只要涉及账户和密码的程序都会记录。 比如说系统的登录，ssh的登录，su切换用户，sudo授权，甚至添加 用户和修改用户密码都会记录在这个日志文件中。
/var/log/wtmp	永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、 关机事件。同样这个文件也是一个二进制文件，不能直接vi，而需 要使用last命令来查看。
/var/run/utmp	记录当前已经登录的用户的信息。这个文件会随着用户的登录和注 销而不断变化，只记录当前登录用户的信息。同样这个文件不能直接vi，而要使用w，who，users等命令来查询。

二、rsyslogd日志服务

1.日志文件格式

基本日志格式包含以下四列：

1. 事件产生的时间；
2. 发生事件的服务器的主机名；
3. 产生事件的服务名或程序名；
4. 事件的具体信息。

2.rsyslogd配置文件

服务名称

服务名称	说明
/var/log/cron	记录了系统定时任务相关的日志。
auth	安全和认证相关消息（不推荐使用authpriv替代）
authpriv	安全和认证相关消息（私有的）
cron	系统定时任务cront和at产生的日志
daemon	和各个守护进程相关的日志
ftp	ftp守护进程产生的日志
kern	内核产生的日志（不是用户进程产生的）
local0-local7	为本地使用预留的服务
lpr	打印产生的日志
mail	邮件收发信息
news	与新闻服务器相关的日志
syslog	有syslogd服务产生的日志信息（虽然服务名 称已经改为rsyslogd，但是很多配置都还是沿 用了syslogd的，这里并没有修改服务名）。
user	用户等级类别的日志信息
uucp	uucp子系统的日志信息，uucp是早期linux系 统进行数据传递的协议，后来也常用在新闻 组服务中。

日志等级

服务名称	说明
debug	一般的调试信息说明
info	基本的通知信息
notice	普通信息，但是有一定的重要性
warning	警告信息，但是还不回影响到服务或系统的运行
err	错误信息，影响到服务或系统的运行了。
crit	临界状况信息，比err等级还要严重
alert	警告状态信息，比crit还要严重。必须立即采取行动
emerg	疼痛等级信息，系统已经无法使用了