第二十一章 Linux高级篇——日志管理

1. 基本介绍

日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等

日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者收到攻击时攻击者留下的痕迹。

可以这样理解，日志是用来记录重大事件的工具

2. 系统常用日志

（1）/var/log目录就是系统日志文件的保存位置

（2）系统的常用日志

（3）案例：使用root用户通过Xshell8登录，第一次使用错误的密码，第二次使用正确的密码登录，看看在日志文件/vae/log/secure里有没有记录相关信息

3. 日志管理服务rsyslogd

Centos7.6日志服务时rsylogd，Centos6日志服务时syslogd，rsyslogd功能更强大。rsyslogd的使用、日志文件格式和syslogd服务兼容。原理示意图：

（1）查询Linux中的rsyslogd服务是否启动

（2）查询rsyslogd服务自启动状态

（3）配置文件：/etc/rsyslog.conf

编辑文件时的格式为：.，其中第一个代表日志类型，第二个代表日志级别

日志类型：auth（pam产生的日志）、authpriv（ssh、ftp等登录信息的验证信息）、corn（时间任务相关）、kern（内核）、lpr（打印）、mail（邮件）、mark(syslog)-rsyslog（服务内部的信息，时间标记）、news（新闻组）、user（用户程序产生的相关信息）、uucp（unix to nuix copy主机之间相关的通信）、local 1-7 （自定义的日志设备）

日志级别：debug（有调试信息的，日志通信最多）、info（一般信息日志，最常用）、notice（最具有重要性的普通条件的信息）、warning（警告级别）、err（错误级别，阻止某个功能或者模块不能正常工作的信息）、alert（需要立刻修改的信息）、emerg（内核崩溃等重要信息）、none（什么都不记录）

注意：从上到下，级别从低到高，记录信息越来越少

（4）由日志服务rsyslogd记录的日志文件，日志文件的格式包括（事件产生的事件、产生事件的服务器的主机名、产生事件的服务名或程序名、事件的具体信息）

（5）日志如何查看实例

时间、主机、服务或程序、事件信息

应用实例：在/etc/rsyslog.conf中添加一个日志文件/var/log/duye.log，当有时间发送时（比如sshd服务相关事件），该文件会接收到信息并保存

4. 日志轮替

4.1 基本介绍

日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除

4.2 日志轮替文件命名

（1）centos7使用logrotate进行日志轮替管理，要想改变日志轮替文件名字，通过/etc、logrotate.conf配置文件中“dateext”参数

（2）如果配置文件中有“dateext”参数，那么日志会用日期来作为日志文件的后缀，例如“secure-20201010”。这样日志文件名不会重叠，也就不需要日志文件的改名，只需要指定保存日志文件个数，删除多余的日志文件即可

（3）如果配置文件中没有“dateext”参数，日志文件就需要进行改名了。当第一次进行日志轮替时，当前的“secure”日 志会自动改名为“secure.1”，然后新建“secure”日志， 用来保存新的日志。当第二次进行日志轮替时，“secure.1” 会自动改名为“secure.2”， 当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来 保存新的日志，以此类推

4.3 logrotate配置文件

（1）/etc/logrotate.conf 为 logrotate 的全局配置文件

# rotate log files weekly, 每周对日志文件进行一次轮替weekly

# keep 4 weeks worth of backlogs, 共保存 4 份日志文件，当建立新的日志文件时，旧的将会被删除rotate4

# create new (empty) log files after rotating old ones, 创建新的空的日志文件，在日志轮替后create

# use date as a suffix of the rotated file, 使用日期作为日志轮替文件的后缀dateext

# uncomment this if you want your log files compressed, 日志文件是否压缩。如果取消注释，则日志会在转储的同时进行压缩

#compress

#RPMpackages drop log rotation information into this directory include /etc/logrotate.d

# 包含 /etc/logrotate.d/ 目录中所有的子配置文件。也就是说会把这个目录中所有子配置文件读取进来

注意：下面是单独设置，优先级更高

# no packages own wtmp and btmp-- we'll rotate them here

/var/log/wtmp {

monthly # 每月对日志文件进行一次轮替

create 0664 root utmp # 建立的新日志文件，权限是 0664 ，所有者是root，所属组是utmp组

minsize 1M # 日志文件最小轮替大小是 1MB 。也就是日志一定要超过 1MB 才会轮替，否则就算时间达到 一个月，也不进行日志转储

rotate 1 # 仅保留一个日志备份。也就是只有 wtmp 和 wtmp.1 日志保留而已

}

/var/log/btmp {

missingok # 如果日志不存在，则忽略该日志的警告信息

monthly

create 0600 root utmp

rotate 1

}

（2）参数说明

daily：日志的轮替周期是每天

weekly：日志的轮替周期是每周

monthly：日志的轮替周期是每月

rotate 数字：保留的日志文件的个数。0 指没有备份

compress：日志轮替时，旧的日志进行压缩

create mode owner group：建立新日志，同时指定新日志的权限与所有者和所属组

mail address：当日志轮替时，输出内容通过邮件发送到指定的邮件地址

missingok：如果日志不存在，则忽略该日志的警告信息

notifempty：如果日志为空文件，则不进行日志轮替

minsize 大小：日志轮替的最小值。也就是日志一定要达到这个最小值才会轮替，否则就算时间达到也不轮替

size 大小：日志只有大于指定大小才进行日志轮替，而不是按照时间轮替

dateext：使用日期作为日志轮替文件的后缀

sharedscripts：在此关键字之后的脚本只执行一次

prerotate/endscript：在日志轮替之前执行脚本命令

postrotate/endscript：在日志轮替之后执行脚本命令

4.4 把自己的日志加入日志轮替

（1）第一种方法是直接在/etc/logrotate.conf 配置文件中写入该日志的轮替策略

（2）第二种方法是在/etc/logrotate.d/目录中新建立该日志的轮替文件，在该轮替文件中写入正确的轮替策略，因为该目录 中的文件都会被“include”到主配置文件中，所以也可以把日志加入轮替

（3）推荐使用第二种方法，因为系统中需要轮替的日志非常多，如果全都直接写 入/etc/logrotate.conf 配置文件，那么这 个文件的可管理性就会非常差，不利于此文件的维护

（4）在/etc/logrotate.d/ 配置轮替文件一览

4.5 应用实例

在/etc/logrotate.conf 进行配置, 或者直接在 /etc/logrotate.d/ 下创建文件duyelog编写

具体 轮替的效果 可以参考 /var/log 下的 boot.log 情况

5.日志轮替机制原理

日志轮替之所以可以在指定时间备份日志，是依赖系统定时任务。在/etc/cron.daily/目录，就会发现这个目录中是有logrotate文件（可执行），logrotate通过这个文件依赖定时任务执行的

6. 查看内存日志

journalctl：可以查看内存日志（查看全部）

参数：-n 3（查看最新3条）、--since 19:00 -- until 19:10:10（查看起始时间到结束时间的日志可加日期）、-p err（报错日志）、-o verbose（日志详细内容）、journalctl _PID=1245 _COMM=sshd（查看包含这些参数的日志（在详细日志查看））或者 journalctl | grep sshd

注意：journalctl查看的是内存日志, 重启清空