linux文件系统和日志分析！

一.inode和block

概述

文件数据包括元信息和实际数据。

文件存储在硬盘上，硬盘最小存储单位是扇区，每个扇区存储512字节。

block（块）

是文件存储的最小单位，一个block大小为512*8=4k，连续8个扇区组成一个block。

inode（索引节点）

也叫i节点，用于存储文件元信息。

inode的元信息

包括文件的字节数，UID,GID,读写执行权限，时间戳，

每一个文件都有一个inode，一般大小是128/256字节。格式化文件系统时就会确定inode的总数。

元信息，外在属性信息，有个指向指向block，内容不在inode里面，内容存在block里。

所有inode 一起形成inode table

简述文件的读取过程

/etc/1.txt文件读取过程
先通过inodetable信息先对比目录的inode找到目录，再到目录下通过inode table找文件对应inode，然后指引到文件对应的block读取相对应的内容。

inode的特殊作用

由于inode号码与文件名分离，导致一些Unix/Linux系统具有以下的现象
①当文件名包含特殊字符，可能无法正常删除文件，直接删除inode，也可以删除文件
②移动或重命名文件时，只改变文件名，不影响inode号码
③打开一个文件后，系统通过inode号码来识别该文件，不再考虑文件名

stat命令

stat 文件名
查看文件的inode信息

[root@localhost ~]# touch 321
[root@localhost ~]# stat 321
  文件："321"
  大小：0         	块：0          IO 块：4096   普通空文件
设备：803h/2051d	Inode：540601712   硬链接：1
权限：(0644/-rw-r--r--)  Uid：(    0/    root)   Gid：(    0/    root)
环境：unconfined_u:object_r:admin_home_t:s0
最近访问：2021-05-17 17:04:39.414082547 +0800 //atime
最近更改：2021-05-17 17:04:39.414082547 +0800 //mtime
最近改动：2021-05-17 17:04:39.414082547 +0800 //ctime
创建时间：-

atime 访问文件时间

mtime 修改文件内容时间

ctime 修改文件属性元信息时间

ll -i 321 可以查看到inode号

[root@localhost ~]# ll -i 321
540601712 -rw-r--r--. 1 root root 0 5月  17 17:04 321

查看目录下所有文件的inode号
ll -i

[root@localhost ~]# ll -i
总用量 12
537174932 drwxr-xr-x. 2 root root    6 4月  29 17:05 11
537174945 -rw-r--r--. 1 root root    0 4月  30 16:26 123
537174958 -rw-r--r--. 1 root root    0 4月  30 16:26 145
537174971 -rw-r--r--. 1 root root    0 4月  30 16:26 195
807079074 drwxr-xr-x. 2 root root    6 4月  29 17:05 22
540601711 -rw-r--r--. 1 root root    7 5月  17 14:15 252
540601712 -rw-r--r--. 1 root root    0 5月  17 17:04 321
    16257 drwxr-xr-x. 2 root root    6 4月  29 17:05 33
537174934 -rw-r--r--. 1 root root    0 4月  27 19:53 a
537174938 drwxr-xr-x. 2 root root    6 4月  30 01:48 aa
537174916 -rw-------. 1 root root 1938 4月  22 19:38 anaconda-ks.cfg
537174935 -rw-r--r--. 1 root root    0 4月  27 19:53 b
807079076 drwxr-xr-x. 2 root root    6 4月  30 01:48 bb
537174926 -rw-r--r--. 1 root root 1966 4月  22 11:40 initial-setup-ks.cfg
537174939 -rw-r--r--. 1 root root    0 4月  30 16:23 qq
       64 drwxr-xr-x. 2 root root    6 5月  16 13:27 tom
807088658 drwxr-xr-x. 2 root root    6 5月   7 14:28 公共
537174944 drwxr-xr-x. 2 root root    6 5月   7 14:28 模板
807088661 drwxr-xr-x. 2 root root    6 5月   7 14:28 视频
537174955 drwxr-xr-x. 2 root root    6 5月   7 14:28 图片
    16266 drwxr-xr-x. 2 root root    6 5月   7 14:28 文档
268475040 drwxr-xr-x. 2 root root    6 5月   7 14:28 下载
268475041 drwxr-xr-x. 2 root root    6 5月   7 14:28 音乐
    16261 drwxr-xr-x. 2 root root    6 5月   7 14:28 桌面

查看文件系统inode号
df -i

[root@localhost ~]# df -i
文件系统           Inode 已用(I)   可用(I) 已用(I)% 挂载点
/dev/sda3      155610624  157983 155452641       1% /
devtmpfs          228957     457    228500       1% /dev
tmpfs             232906       1    232905       1% /dev/shm
tmpfs             232906    1035    231871       1% /run
tmpfs             232906      16    232890       1% /sys/fs/cgroup
/dev/sdd1        1048576       3   1048573       1% /root/tom
/dev/sda1          92520     341     92179       1% /boot
tmpfs             232906       6    232900       1% /run/user/42
tmpfs             232906      21    232885       1% /run/user/0
/dev/sr0               0       0         0        - /run/media/root/CentOS 7 x86_64
/dev/md0        20951040       3  20951037       1% /raid0

查看指定文件对应的文件系统的统计信息
stat -f 文件名

[root@localhost ~]# stat -f 321
  文件："321"
    ID：80300000000 文件名长度：255     类型：xfs
块大小：4096       基本块大小：4096
    块：总计：77767322   空闲：76374866   可用：76374866
Inodes: 总计：155610624  空闲：155452641

看xfs文件系统的inode节点大小
ext4文件系统用dumpe2fs

xfs_info /dev/sda1

[root@localhost ~]# xfs_info /dev/sda1
meta-data=/dev/sda1              isize=512    agcount=4, agsize=12800 blks
         =                       sectsz=512   attr=2, projid32bit=1
         =                       crc=1        finobt=0 spinodes=0
data     =                       bsize=4096   blocks=51200, imaxpct=25
         =                       sunit=0      swidth=0 blks
naming   =version 2              bsize=4096   ascii-ci=0 ftype=1
log      =internal               bsize=4096   blocks=855, version=2
         =                       sectsz=512   sunit=0 blks, lazy-count=1
realtime =none                   extsz=4096   blocks=0, rtextents=0

isize表示为inode大小；agcount为存储区群组(allocation group)的个数
sectsz指逻辑扇区(sector)的容量大小
bsize指block容量大小
sunit与swidth与stripe相关
internal指登录区(log p)在文件系统内部，而不在外部
bsize指占用区块大小，blocks为数量

dumpe2fs /dev/sda1 | grep -i “inode size”

// An highlighted block
var foo = 'bar';

二.硬链接与软链接

为文件或者目录建立链接文件
链接文件有两种，一种类似于Windows系统的快捷方式，可以快速连接到目标文件或目录，另一种则是通过文件系统的inode链接来产生的新文件名，而不产生新文件，这种就是硬链接

硬链接

文件名和inode号码是对应关系，每个inode号码对应一个文件名，
用ln 源文件 目标文件 来创建硬链接

[root@localhost ~]# ll
总用量 8
-rw-------. 1 root root 1600 5月  20 22:45 anaconda-ks.cfg
-rw-r--r--. 1 root root 1648 5月  20 22:47 initial-setup-ks.cfg

[root@localhost ~]# touch aa
[root@localhost ~]# ll
总用量 8
-rw-r--r--. 1 root root    0 5月  21 00:32 aa
-rw-------. 1 root root 1600 5月  20 22:45 anaconda-ks.cfg
-rw-r--r--. 1 root root 1648 5月  20 22:47 initial-setup-ks.cfg

[root@localhost ~]# ln aa aa1
[root@localhost ~]# ll
总用量 8
-rw-r--r--. 2 root root    0 5月  21 00:32 aa
-rw-r--r--. 2 root root    0 5月  21 00:32 aa1
-rw-------. 1 root root 1600 5月  20 22:45 anaconda-ks.cfg
-rw-r--r--. 1 root root 1648 5月  20 22:47 initial-setup-ks.cfg

[root@localhost ~]# ll -i
总用量 8
33575036 -rw-r--r--. 2 root root    0 5月  21 00:32 aa
33575036 -rw-r--r--. 2 root root    0 5月  21 00:32 aa1
33574980 -rw-------. 1 root root 1600 5月  20 22:45 anaconda-ks.cfg
33574990 -rw-r--r--. 1 root root 1648 5月  20 22:47 initial-setup-ks.cfg
[root@localhost ~]# echo '123456' > aa
[root@localhost ~]# cat aa
123456
[root@localhost ~]# cat aa1
123456
[root@localhost ~]# rm - rf aa
rm: 无法删除"-": 没有那个文件或目录
rm: 无法删除"rf": 没有那个文件或目录
rm：是否删除普通文件 "aa"？rm
[root@localhost ~]# ll
总用量 16
-rw-r--r--. 2 root root    7 5月  21 00:34 aa
-rw-r--r--. 2 root root    7 5月  21 00:34 aa1
-rw-------. 1 root root 1600 5月  20 22:45 anaconda-ks.cfg
-rw-r--r--. 1 root root 1648 5月  20 22:47 initial-setup-ks.cfg
[root@localhost ~]# rm - rf aa
rm: 无法删除"-": 没有那个文件或目录
rm: 无法删除"rf": 没有那个文件或目录
rm：是否删除普通文件 "aa"？y
[root@localhost ~]# ll
总用量 12
-rw-r--r--. 1 root root    7 5月  21 00:34 aa1
-rw-------. 1 root root 1600 5月  20 22:45 anaconda-ks.cfg
-rw-r--r--. 1 root root 1648 5月  20 22:47 initial-setup-ks.cfg
[root@localhost ~]# cat aa1
123456
[root@localhost ~]# 

总结：
硬链接不能对目录创建，也不能跨文件系统创建。

创建硬链接的inode号是一样的。

硬链接，相当于是源文件的备份，硬链接的内容随着源文件的内容而改变备份，但是删除源文件不影响硬链接的文件，硬链接的文件内容还在。

软链接

软链接就是在创建一个新文件，inode不再相同，而这个文件会让数据的读取指向它链接的那个文件的文件名，并且软链接文件依赖源文件存在，如果删除源文件的话软链接就会失效
用ln -s 源文件 目标文件 来创建软链接

[root@localhost ~]# touch bb
[root@localhost ~]# ln -s bb /opt
[root@localhost ~]# ll -i
总用量 12
33575036 -rw-r--r--. 1 root root    7 5月  21 00:34 aa1
33574980 -rw-------. 1 root root 1600 5月  20 22:45 anaconda-ks.cfg
33819081 -rw-r--r--. 1 root root    0 5月  21 01:06 bb
33574990 -rw-r--r--. 1 root root 1648 5月  20 22:47 initial-setup-ks.cfg
[root@localhost ~]# ll -i /opt
总用量 0
16826114 lrwxrwxrwx. 1 root root 2 5月  21 01:11 bb -> bb
18710876 drwxr-xr-x. 2 root root 6 10月 31 2018 rh
[root@localhost ~]# echo '321321' > bb
[root@localhost ~]# cat bb
321321

[root@localhost ~]# rm -rf bb
[root@localhost ~]# ll /opt
总用量 0
lrwxrwxrwx. 1 root root 2 5月  21 01:11 bb -> bb
drwxr-xr-x. 2 root root 6 10月 31 2018 rh
[root@localhost ~]# cat bb
cat: bb: 没有那个文件或目录
[root@localhost ~]# 

总结
软链接相当于是快捷方式

查看软链接的inode 号和源文件是不同的。

软连接可以跨文件系统

创建软链接会发现软链接文件会闪烁

删除源文件，会发现软链接文件还在，但是无法访问查看

三.恢复误删除的文件

xfsdump备份
xfsrestore还原
恢复的前提要做备份

1.xfsdump备份选项说明

xfsdump -f 备份文件位置 备份的路径或者设备文件

-L 卷标
-M 媒体标准
-l 级别
-I 备份后查看状态具体信息

2.备份的级别

0 完全备份 默认为0，第一次备份都是需要完全备份
1-9 增量备份 只备份增加的
差异备份 只备份不一样的

3.xfsdump备份，删除，还原操作演示

①格式化硬盘，挂载，创建新文件

[root@localhost ~]# lsblk
NAME            MAJ:MIN RM  SIZE RO TYPE MOUNTPOINT
sda               8:0    0   20G  0 disk 
├─sda1            8:1    0    1G  0 part /boot
└─sda2            8:2    0   19G  0 part 
  ├─centos-root 253:0    0   17G  0 lvm  /
  └─centos-swap 253:1    0    2G  0 lvm  [SWAP]
sdb               8:16   0   30G  0 disk 
├─sdb1            8:17   0    2G  0 part 
└─sdb2            8:18   0    5G  0 part 
sr0              11:0    1 1024M  0 rom  

[root@localhost ~]# mkdir /opt/bak

[root@localhost ~]# mkfs.xfs /dev/sdb1
meta-data=/dev/sdb1              isize=512    agcount=4, agsize=131072 blks
         =                       sectsz=512   attr=2, projid32bit=1
         =                       crc=1        finobt=0, sparse=0
data     =                       bsize=4096   blocks=524288, imaxpct=25
         =                       sunit=0      swidth=0 blks
naming   =version 2              bsize=4096   ascii-ci=0 ftype=1
log      =internal log           bsize=4096   blocks=2560, version=2
         =                       sectsz=512   sunit=0 blks, lazy-count=1
realtime =none                   extsz=4096   blocks=0, rtextents=0

[root@localhost ~]# mount /dev/sdb1 /opt/bak

[root@localhost /]# df -Th
文件系统                类型      容量  已用  可用 已用% 挂载点
/dev/mapper/centos-root xfs        17G  4.2G   13G   25% /
devtmpfs                devtmpfs  894M     0  894M    0% /dev
tmpfs                   tmpfs     910M     0  910M    0% /dev/shm
tmpfs                   tmpfs     910M   11M  900M    2% /run
tmpfs                   tmpfs     910M     0  910M    0% /sys/fs/cgroup
/dev/sda1               xfs      1014M  179M  836M   18% /boot
tmpfs                   tmpfs     182M  8.0K  182M    1% /run/user/42
tmpfs                   tmpfs     182M   24K  182M    1% /run/user/0
/dev/sdb1               xfs       2.0G   33M  2.0G    2% /opt/bak


[root@localhost ~]# cd /opt/bak
[root@localhost bak]# ls

[root@localhost bak]# touch 3 4 5 6 
[root@localhost bak]# ls
3  4  5  6

②备份文件到/bak

xfsdump -f /bak /dev/sdb1 -L sdb1 -M sdb1

[root@localhost bak]# xfsdump -f /bak /dev/sdb1 -L sdb1 -M sdb1
xfsdump: using file dump (drive_simple) strategy
xfsdump: version 3.1.7 (dump format 3.0) - type ^C for status and control
xfsdump: level 0 dump of localhost.localdomain:/opt/bak
xfsdump: dump date: Sun May 23 16:03:43 2021
xfsdump: session id: 467360d1-f29b-4086-8e9e-1fde7d1353c8
xfsdump: session label: "sdb1"
xfsdump: ino map phase 1: constructing initial dump list
xfsdump: ino map phase 2: skipping (no pruning necessary)
xfsdump: ino map phase 3: skipping (only one dump stream)
xfsdump: ino map construction complete
xfsdump: estimated dump size: 22080 bytes
xfsdump: /var/lib/xfsdump/inventory created
xfsdump: creating dump session media file 0 (media 0, file 0)
xfsdump: dumping ino map
xfsdump: dumping directories
xfsdump: dumping non-directory files
xfsdump: ending media file
xfsdump: media file size 23608 bytes
xfsdump: dump size (non-dir files) : 0 bytes
xfsdump: dump complete: 0 seconds elapsed
xfsdump: Dump Summary:
xfsdump:   stream 0 /bak OK (success)
xfsdump: Dump Status: SUCCESS

③ 查看备份文件信息xfsdump -I

[root@localhost bak]# xfsdump -I
file system 0:
	fs id:		e40cb524-d1cd-4548-81ce-edeec5c807b3
	session 0:
		mount point:	localhost.localdomain:/opt/bak
		device:		localhost.localdomain:/dev/sdb1
		time:		Sun May 23 16:03:43 2021
		session label:	"sdb1"
		session id:	467360d1-f29b-4086-8e9e-1fde7d1353c8
		level:		0
		resumed:	NO
		subtree:	NO
		streams:	1
		stream 0:
			pathname:	/bak
			start:		ino 67 offset 0
			end:		ino 71 offset 0
			interrupted:	NO
			media files:	1
			media file 0:
				mfile index:	0
				mfile type:	data
				mfile size:	23608
				mfile start:	ino 67 offset 0
				mfile end:	ino 71 offset 0
				media label:	"sdb1"
				media id:	dfb3423d-200e-4f6d-9299-e5489e290e8b
xfsdump: Dump Status: SUCCESS

④ 删除文件

[root@localhost bak]# rm -rf *
[root@localhost bak]# ls

⑤从备份/bak中还原文件到/opt/bak

[root@localhost bak]# cd /
[root@localhost /]# ls
bak  boot  etc   lib    media  opt   root  sbin  sys  usr
bin  dev   home  lib64  mnt    proc  run   srv   tmp  var
[root@localhost /]# xfsrestore -f /bak /opt/bak/
xfsrestore: using file dump (drive_simple) strategy
xfsrestore: version 3.1.7 (dump format 3.0) - type ^C for status and control
xfsrestore: searching media for dump
xfsrestore: examining media file 0
xfsrestore: dump description: 
xfsrestore: hostname: localhost.localdomain
xfsrestore: mount point: /opt/bak
xfsrestore: volume: /dev/sdb1
xfsrestore: session time: Sun May 23 16:03:43 2021
xfsrestore: level: 0
xfsrestore: session label: "sdb1"
xfsrestore: media label: "sdb1"
xfsrestore: file system id: e40cb524-d1cd-4548-81ce-edeec5c807b3
xfsrestore: session id: 467360d1-f29b-4086-8e9e-1fde7d1353c8
xfsrestore: media id: dfb3423d-200e-4f6d-9299-e5489e290e8b
xfsrestore: using online session inventory
xfsrestore: searching media for directory dump
xfsrestore: reading directories
xfsrestore: 1 directories and 4 entries processed
xfsrestore: directory post-processing
xfsrestore: restoring non-directory files
xfsrestore: restore complete: 0 seconds elapsed
xfsrestore: Restore Summary:
xfsrestore:   stream 0 /bak OK (success)
xfsrestore: Restore Status: SUCCESS

⑥查看文件是否还原

[root@localhost /]# ls /opt/bak/
3  4  5  6
[root@localhost /]# 

4.xfsdump使用限制

只能备份以挂载的文件系统
必须使用root权限才能操作
只能备份xfs文件系统
备份后的数据只能让xfsrestore解析
不能备份两个具有相同UUID的文件系统

四.分析文件日志

1.日志的功能：

用于记录系统、程序运行中发生的各种事件
通过阅读日志，有助于诊断和解决系统故障

2.日志保存位置：

默认位于: war/log目录下
可以看出大部分存放到公共日志文件/var/log/message中，其他的日志文件直接发送给用户或者放到自己独立的日志文件中

3.日志文件的分类：

（1）内核及系统日志

由系统服务rsyslog统-进行管理，日志格式基本相似
由系统服务rsyslog统一管理
软件包: rsyslog-7.4.7-16.el7.x86_ 64
●主要程序: /sbin/rsyslogd
配置文件: /etc/rsyslog.conf

日志消息的级别：

1.等级由低到高：debug<info<warn<Error<Fatal;
2.区别：

debug 级别最低，可以随意的使用于任何觉得有利于在调试时更详细的了解系统运行状态的东东；

info 重要，输出信息：用来反馈系统的当前状态给最终用户的；

后三个，警告、错误、严重错误，这三者应该都在系统运行时检测到了一个不正常的状态。

warn, 可修复，系统可继续运行下去；

Error, 可修复性，但无法确定系统会正常的工作下去;

Fatal, 相当严重，可以肯定这种错误已经无法修复，并且如果系统继续运行下去的话后果严重。

级别 对应内核日志级别 说明
0 KERN_EMERG 紧急消息。系统崩溃之前提示，表示系统已不可用。
1 KERN_ALERT 报告消息。表示必须立即采取措施。
2 KERN_CRIT 临界消息。通常涉及严重的硬件或软件操作失败。
3 KERN_ERR 错误消息。串口日志的默认级别。驱动程序常用 KERN_ERR 来报告硬件的错误。
4 KERN_WARNING 警告消息。对可能出现问题的情况进行警告。
5 KERN_NOTICE 正常但又重要的消息。用于提醒，常用于与安全相关的消息。
6 KERN_INFO 提示消息。如驱动程序启动时，打印硬件消息。
7 KERN_DEBUG 调试消息。设置此级别会打印所有日志消息。

日志记录的一般格式：

[root@localhost /]# cd /var/log
[root@localhost log]# tail -f messages
May 23 22:09:47 localhost dbus[6391]: [system] Activating via systemd: service name='net.reactivated.Fprint' unit='fprintd.service'
May 23 22:09:47 localhost systemd: Starting Fingerprint Authentication Daemon...
May 23 22:09:47 localhost dbus[6391]: [system] Successfully activated service 'net.reactivated.Fprint'
May 23 22:09:47 localhost systemd: Started Fingerprint Authentication Daemon.
May 23 22:09:51 localhost gnome-keyring-daemon[8916]: couldn't initialize slot with master password: The password or PIN is incorrect
May 23 22:09:51 localhost dbus[6391]: [system] Activating via systemd: service name='org.freedesktop.hostname1' unit='dbus-org.freedesktop.hostname1.service'
May 23 22:09:51 localhost systemd: Starting Hostname Service...
May 23 22:09:51 localhost dbus[6391]: [system] Successfully activated service 'org.freedesktop.hostname1'
May 23 22:09:51 localhost systemd: Started Hostname Service.
May 23 22:10:01 localhost systemd: Started Session 44 of user root.
May 23 22:10:47 localhost journal: g_simple_action_set_enabled: assertion 'G_IS_SIMPLE_ACTION (simple)' failed
May 23 22:10:47 localhost journal: g_simple_action_set_enabled: assertion 'G_IS_SIMPLE_ACTION (simple)' failed

时间标签
主机名
子系统名
消息字段

（2）用户日志

记录系统用户登录及退出系统的相关信息

分析工具：users、 who、 W、last、 lastb
保存了用户登录、退出系统等相关信息
●/varl/log/lastlog:最近的用户登录事件
●/var/log/wtmp:用户登录、注销及系统开、关机事件
●/var/run/utmp:当前登录的每个用户的详细信息
●/var/log/secure:与用户验证相关的安全性事件

一般本人查日志配合应用的其他命令
history // 所有的历史记录
history | grep XXX // 历史记录中包含某些指令的记录
history | more // 分页查看记录
history -c // 清空所有的历史记录
!! 重复执行上一个命令
查询出来记录后选中 :　!323

linux日志文件说明
/var/log/message 系统启动后的信息和错误日志，是Red Hat Linux中最常用的日志之一
/var/log/secure 与安全相关的日志信息
/var/log/maillog 与邮件相关的日志信息
/var/log/cron 与定时任务相关的日志信息
/var/log/spooler 与UUCP和news设备相关的日志信息
/var/log/boot.log 守护进程启动和停止相关的日志消息
/var/log/wtmp 该日志文件永久记录每个用户登录、注销及系统的启动、停机的事件

（3）程序日志

由各种应用程序独立管理的日志文件，记录格式不统一

由相应的应用程序独立进行管理
●Web服务: Ivar/log/httpd/
◆access_ log、error_ log
代理服务: /var/log/squid/
◆access.log、cache.log.
●FTP服务: /var/log/xferlog

分析工具
●文本查看、grep过滤检索、Webmin管理套件中查看
●awk、sed等文本过滤、格式化编辑工具
●Webalizer、Awstats等专用日志分析工具

看日志文件
centos 7 才有的 管理服务进程的
journalctl

[root@localhost log]# journalctl -ex
-- Support: http://lists.freedesktop.org/mailman/listinfo/systemd-devel
-- 
-- Unit fprintd.service has finished starting up.
-- 
-- The start-up result is done.
5月 24 06:42:53 localhost.localdomain gnome-keyring-daemon[8916]: couldn't initi
5月 24 06:42:53 localhost.localdomain gdm-password][17524]: gkr-pam: unlocked lo
5月 24 06:42:54 localhost.localdomain dbus[6391]: [system] Activating via system
5月 24 06:42:54 localhost.localdomain systemd[1]: Starting Hostname Service...
-- Subject: Unit systemd-hostnamed.service has begun start-up
-- Defined-By: systemd
-- Support: http://lists.freedesktop.org/mailman/listinfo/systemd-devel
-- 
-- Unit systemd-hostnamed.service has begun starting up.
5月 24 06:42:54 localhost.localdomain dbus[6391]: [system] Successfully activate
5月 24 06:42:54 localhost.localdomain systemd[1]: Started Hostname Service.
-- Subject: Unit systemd-hostnamed.service has finished start-up
-- Defined-By: systemd
-- Support: http://lists.freedesktop.org/mailman/listinfo/systemd-devel
-- 
-- Unit systemd-hostnamed.service has finished starting up.
-- 
-- The start-up result is done.
lines 3377-3399/3399 (END)

-k 看内核
-b 看系统启动
-u 看某个服务
-e 从尾部开始看 看最新的
-xe 提供知识的，有网页可以参考

4.日志注意事项

1.定期备份，删除
2.定期切割
3.对日志文件设置权限
4.定期检查