linux系统日志管理

rsyslog

此服务是用来采集系统日志的。他不产生日志，只是起到采集作用

rsyslog的管理

配置文件/etc/rsyslog.conf

/var/log/messages----------服务信息日志

/var/log/secure----------------系统登陆日志

/var/log/cron--------------------定时任务日志

/var/log/maillog---------------邮件日志

/var/log/boot.log--------------系统启动日志

1.指定日志采集路径

*（什么类型的日志）*（什么级别的日志）/（存放到什么文件）----------日志采集规则

2.日志类型分为：

auth    --------------------pam产生日志

authpriv  ----------------ssh.ftp等登陆信息的验证信息

cron    -------------------时间任务相关

kern    --------------------内核

lpr    ----------------------打印

mail  ---------------------邮件

mark(syslog)-rsyslog------服务内部的信息，时间标识

news  --------------------新闻组

user -----------------------用户程序产生的相关程序

uucp------------------------unix to unix copy，unix主机之间相关的通讯

local 1～7 ------------------自定义的日志设备

3.日志级别分为：

debug -------------------有调式信息的，日志信息最多

info-----------------------一般信息的日志，最常用

notice----------------------最具有重要性的普遍条件的信息

warning--------------------警告级别

err---------------------------错误级别，组织某个功能或者模块不能正常工作的信息

crit---------------------------严重级别，组织整个系统或者整个软件不能正常工作的信息

alert--------------------------需要立刻修改的信息

emerg-----------------------内核崩溃等严重信息

none------------------------什么都不记录

注意：从上到下，级别从低到高，记录的信息越来越少

4.日志的远程同步

日志发送方：

vim /etc/rsyslog.conf

*.*  @ip         --------------"@"表示udp协议发送，“@@”表示tcp协议发送

systemctl  restart  rsyslog.service  ---------重启服务

systemctl  stop  firewalld      -----------------关闭火墙

日志接收方：

vim /etc/suslog.conf

15-----------------日志接收模块

16----------------开启接收端口

systemctl  restart  rsyslog.service

systemctl  stop  firewalld-------关闭火墙

测试：

在发送方和接收方都清空日志文件

 > /var/log/messages

在日志的发送方

logger  test

cat  /var/log/messages  -------查看日志生成

在日志接收方查看：

排错方法：

1.防火墙是否关闭

2.配置文件是否更改，重启

3.网路是否良好     ping 本主机ip

4.接口是否打开   netstat-antlupe | grep rsyslog

5.日志采集格式的设定

“%timegenerated% %FROMHOST-IP%  %syslogtag%  %msg%\n”

            ^                                   ^                                ^                     ^      ^

    显示日志时间               显示主机ip             日志记录目录    内容   换行

6.时间同步服务

chronyd

服务端：

vim /etc/chrony.conf ------------修改配置文件

22---------------允许那些客户端来同步本机时间

19----------------本机不同步任何主机时间，本机作为时间源

systemctl    restart   chronyd.service----------重启服务

systemctl  stop  firewalld.service------关闭火墙

在客户端：

server  ip iburst---------------本机立即同步此ip的时间

timedatectl  set-timezone Asia/Shanghai----更改本机时区为上海时区

测试：

chronyc sources -v

左下角出现“^*”说明时间同步成功

7.timedatectl命令

timedatectl  -------------管理系统时间

timedatectl  status----------------显示当前信息

timedatectl  set-time  -----------设定时间

8.journal

(1)journalctl --------日志查看工具

     journalctl  -n 3-------查看最近三条日志

journalctl -p err ------------查看错误日志

journalctl  -o  verbose-------查看日志的详细参数

journalctl     --since  ----------------查看从什么时间开始的日志

 journalctl      --until ------------------查看到什么时间为止的日志

(2)如何使用systemd-journald保存系统日志

默认systemd-journald是不保存系统日志到硬盘的

关机后再次开机只能看到本次开机后的日志

上一次关机之前的日志是无法保存的