【鸟哥的linux私房菜-学习笔记】认识与分析登录文件

Linux 常见的登录文件档名

/var/log/cron：crontab 排程

/var/log/dmesg：记录系统在启动的时候核心侦测过程所产生的各项资讯。

/var/log/lastlog：可以记录系统上面所有的帐号最近一次登陆系统时的相关资讯。

/var/log/maillog 或 /var/log/mail/*：记录邮件的往来资讯，其实主要是记录 sendmail (SMTP 协议提供者) 与 dovecot (POP3 协议提供者) 所产生的信息。

/var/log/messages：几乎系统发生的错误信息 (或者是重要的资讯) 都会记录在这个文件中。

/var/log/secure：基本上，只要牵涉到『需要输入帐号口令』的软件，那么当登陆时 (不管登陆正确或错误) 都会被记录在此文件中。

/var/log/wtmp, /var/log/faillog：这两个文件可以记录正确登陆系统者的帐号资讯 (wtmp) 与错误登陆时所使用的帐号资讯 (faillog) 。

/var/log/httpd/*, /var/log/news/*, /var/log/samba/*：不同的网络服务会使用它们自己的登录文件来记载它们自己产生的各项信息.

登录文件所需相关服务 (daemon) 与程序

CentOS 提供 syslogd 这个服务来统一管理登录文件。

还有klogd来专门记录核心资讯的登录文件。

由于登录文件会不断变大，所以需要备份和升级，我们可以透过 logrotate (登录文件轮替) 来自动化处理登录文件容量与升级的问题。

logrotate 基本上，就是将旧的登录文件更改名称，然后创建一个空的登录文件，新的登录文件将重新开始记录，然后只要将旧的登录文件留下一阵子，就可以达到将登录文件『轮转』的目的。 如果旧的纪录 (大概要保存几个月吧！) 保存了一段时间没有问题，那么就可以让系统自动的将他删除。

总结一下，针对登录文件所需的功能，我们需要的服务与程序有：

syslogd：主要登录系统与网络等服务的信息；
klogd：主要登录核心产生的各项资讯；
logrotate：主要在进行登录文件的轮替功能。

syslogd ：记录登录文件的服务

登录文件内容的一般格式：

1.事件发生的日期与时间；
2.发生此事件的主机名称；
3.启动此事件的服务名称 (如 samba, xinetd 等) 或函式名称 (如 libpam ..)；
4.该信息的实际数据内容。

syslog 的配置档：/etc/syslog.conf

syslog 针对各种服务与信息记录在某些文件的配置档就是 /etc/syslog.conf， 这个文件规定了『(1)什么服务 (2)的什么等级信息 (3)需要被记录在哪里(装置或文件)』

配置的语法会是这样：

服务名称[.=!]信息等级       信息记录的档名或装置或主机
# 底下以 mail 这个服务产生的 info 等级为例：
mail.info           /var/log/maillog_info
# 这一行说明：mail 服务产生的大於等於 info 等级的信息，都记录到 
# /var/log/maillog_info 文件中的意思。

信息等级：

同一个服务所产生的信息是有差别的，有启动时仅通知系统而已的一般信息 (information)， 有出现还不至於影响到正常运行的警告信息 (warn) &#x