一、系统日志的采集规则
-
日志可以直接看出系统中的错误,日志在内存里,由服务决定
vim /etc/rsyslog.conf 查看并修改采集日志文件配置,为了让我们把日志采集到指定位置。 -
日志采集格式:日志类型.日志级别 日志存放文件名称
1.日志类型:
auth 用户登陆日志(pam产生的日志)
authpriv 服务认证日志(sshd认证日志)
kern 内核日志
cron 时间任务日志
lpr 打印机日志
mail 邮件日志
news 新闻日志
user 用户相关程序产生的日志
uucp unix to unix copy, unix主机之间相关的通讯
local 1~7 用户自定义日志
mark(syslog)-rsyslog 服务内部信息,时间标识
2.日志级别:
debug 系统调试信息,日志信息最多
info 常规信息,最常用的信息
notice 最具有重要性的普通条件信息
warning 警告信息
err 报错(级别低,阻止了某个功能不能正常工作)
crit 报错(级别高,阻止整个软件或整个系统不能正常工作)
alert 需要立即修改的信息
emerg 内核崩溃等严重信息
none 不采集任何日志信息
注意: 日志从上到下,级别从低到高,记录的信息也越来越少。 -
系统常用日志
/var/log/messages 所有日志级别的常规信息(不包含邮件,服务认证,定时任务)
/var/log/maillog 邮件日志
/var/log/cron 定时任务日志
/var/log/secure 服务认证日志
:omusrmsg:* 内核崩溃等严重信息日志
/var/log/spooler unix主机之间相关的通讯和新闻日志的高级报错日志
/var/log/boot.log 用户