系统日志的管理

日志的管理

1，rsyslog 此服务用来采集系统的日志，不产生日志，只是起到采集的作用

	1，/var/log/messages	服务信息日志
	2，/var/log/secure	系统登陆日志
	3，/var/log/cron	定时任务日志
	4，/var/log/mailllog	邮件日志
	5，/var/log/boot.log	系统启动日志

指定日志的采集路径

1，日志分为类型日志和级别日志 存放路径/var/log/file

日志的类型：
	auth		pam产生的日志
	authpriv	ssh，ftp等登录信息的验证信息
	cron		时间任务相关
	kern		内核
	lpr		打印
	mail		邮件
	mark（syslog）-rsyslog	服务内部的信息，时间标示
	news		新闻组
	user		用户程序产生的相关信息
	uucp		unix to unix copy,unix主机之间相关的通讯
	local1～7	自定义的日志设备

日志的级别：
	debug		有调试信息的，日志信息最多
	info		一般信息的日志，最常用
	warning		警告级别
	err		错误级别，阻止某个功能或模块不能正常工作的信息
	crit		严重级别，组织整个系统或整个软件不能正常工作的信息
	alert		需要立刻修改的信息
	emerg		内核崩溃等严重信息
	none		什么都不记录

具体操作：把系统中所有的日志采集到 /var/log/westos文件中
1，vim /etc/rsyslog.cof
2，添加 * . * /var/log/westos
3，重新加载 systemctl restart rsyslog
测试：systemctl restart sshd
cat /var/log/westos

日志的远程同步

1，在日志的发送方： vim /etc/rsyslog.cof
2,* . * @172.25.254.104 @表示udp协议发送法，@@表示tcp协议发送
3，systemctl restart rsyslog

1，在日志的接受方：vim /etc/rsyslog.cof
2, 15 行 $modload imudp 日志接受模块
16 行 $UDPSserverRun 514 开启接受端口
3，systemctl restart rsyslog
4，systemctl stop firewalld 关闭火墙
systemctl disable firewalld 设定火墙开机关闭

测试：为了直观的感受在发送和接受方都清空日志> /var/log/messages
在日志的发送方 logger westos ， cat /var/log/messages
在日志接受方查看 cat /var/log/messages

日志采集格式的设定

1， vim /var/etcrsyslog.cof
2,$template LOGFMT, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%/n“

%timegenerated%			显示日志时间
%FROMHOST-IP%			显示主机ip
%syslogtag%				日志记录目标
%msg%					日志内容
/n						换行

3,* . * /var/log/westos; 在指定的日志中采用LOGFMT格式
4, 29行 $ActionFileDefaultTemplate LOGFMT 修改系统默认日志采集格式为LOGFMT
5,cat /var/log/westos

时间服务 chronyd

同步服务器的时间
1，在服务端： vim /etc/chrony.conf
22 行 allow 172.25.254.0/24 允许那些客户端来同步本机时间
29 行 local stratum 10 本机不同步任何主机时间，本机作为时间源
systemctl restart chronyd

2，在客户端：vim /etc/chrony.conf
server 172.25.254.104 iburst 本机立即同步104主机的时间
systemctl restart chronyd

测试：客户端输入 chrony sources -v
**timedatectl命令 管理系统时间 **

timedatectl 	status		显示当前时间信息
				set-time      	设定当前时间
				set-timezone	设定当前时区
				set-local-rtc 0|1  设定是否使用utc时间			
				list-timezone 	查看支持的所有时区	

journalctl日志的查看工具

1，journalctl		日志查看工具
				-n 3   	查看最近三条日志
				-p err	查看错误日志
				-o verbose  查看日志的详细参数
				--since	查看从什么时间开始的日志
				--until	查看到什么时间为止的日志

2，使用systemd-journal保存系统日志:默认systemd-journal是不保存系统日志到硬盘的，那么关机后再次开机只能看到开机之后的日志上次关机之前的日志无法查看
1，mkdir /var/log/journal
chgrp systemd-journal /var/log/journal
chmod g+s /var/log/journal
killall -1 systemd-journal
ls /var/log/journal id和本机一样