Linux系统中的日志管理

1

journalctl命令的用法

journalctl

	-n 3			#日志的最新三条
	--since "13:00"		#显示13点以后的日志
	--until "13;05"		#显示日志到13：05
	
	-o			#设定日志的显示方法
	#	short		经典模式显示日志
	#	verbose		显示日志的全部字节
	#	export		适合传出和备份的二进制格式
	#	json		js格式显示输出
	
	-p 			#显示指定级别的日志
	#0	emerg		系统的严重问题日志
	#1	alert		系统中立即要更改的信息
	#2	crit		严重级别会导致系统软件不能正常工作
	#3	err		程序报错
	#4	warning		程序警告
	#5	notice		重要信息的普通日志
	#6	info		普通信息
	#7	debug		程序排错信息
	
	-F	PRIOROTY	#查看可控日志级别
	-u	sshd		#查看指定服务
	--disk-usage		#查看日志大小
	--vacuum-size=1G		#设定日志存放大小
	--vacuum-time=1W		#日志在系统中最常存放时间
	-f			#监控日志

用journal服务永久存放日志

系统默认日志在:/run/log/journal中
mkdir /var/log/journal
chgrp systemd-journal /var/log/journal
chmod 2775 /var/log/journal
systemctl restart systemd-journald.service

reboot
journalctl #之前的日志都可以查看

rm -rf /var/log/journal/
systemctl restart systemd-journald.service

reboot
journalctl #只能看到开机后的日志

2.rsyslog

服务名称：rsyslog.service
日志存放：
/var/log/messages #系统服务日志，常规信息，服务报错
/var/log/secure #系统认证信息日志
/var/log/maillog #系统邮件日志信息
/var/log/boot.log #系统启动日志信息
配置文件：/etc/rsyslog.conf

自定义路径日志采集路径

vim /etc/rsyslog.conf

在53行加入
*. *;authpriv.none /var/log/westos #把系统中所有级别的日志存放到westos中，但是authprive不放到westos中

systemctl restart rsyslog.service
ls /var/log/westos
cat /var/log/westos

日志类型
auth #用户认证
autnpriv #服务认证
cron #时间任务
kern #内核类型
mail #邮件
news #系统更新信息
user #用户

日志级别
debug #程序排错信息
info #程序常规运行信息
notice #重要信息的普通日志
warning #程序警告
err #程序报错
crit #严重级别会导致系统软件下不能正常工作
alert #系统中立即要更改的信息
emerg #系统的严重问题日志
none #不采集

日志的远程同步

172.25.254.217 #存放日志作为日志接收端，所有人日志都存放到此台主机
172.25.254.117 #发送日志到217主机

1.在217主机中设置接受所有人的日志
systemctl stop firewalld
vim /etc/rsyslog.conf

19 module(load=“imudp”) #打开日志接受插件
20 input(type=“imudp” port=“514”) #指定插件使用接口

systemctl restart rsyslog.service

查询端口netstat -antlupe | grep rsyslog
2.117中设定日志发送到217中
vim /etc/rsyslog.conf

*. * @172.25.254.217 #把本机日志用udp的传输方式发送到217主机
#@@ 表示使用tcp传输日志

测试：
在两台主机中
“> /var/log/messages”

在217中监控日志
tail -f /var/log/messages

在217上可以看到117中生成的日志

设定日志采集格式

$Template WESTOSFORMAT,"%FROMHOST-IP% %timegenerated% %syslogtag% %msg%\n"

WESTOSFORMAT #格式名称
%FROMHOST-IP% #日志来源主机ip
%timegenerated% #日志生成时间
%syslogtag% #日志生成服务
%msg%\ #日志内日
\n #换行

module(load=“builtin:omfile” Template=“WESTOSFORMAT”)
#默认采用WESTOSFORMAT格式

vim /etc/rsyslog.conf

timedatectl

timedatectl set-time “2020-11-07 10:32:50” #设定系统时间
timedatectl set-local-rtc 1 #设定系统时间计算方式
timedatectl set-local-rtc 0 #0表示使用utc时间计算方式
#1表示本地时间
timedatectl listzones #显示系统的所有时区
timedatectl set-timezone “Asia/Shanghai” #设定系统时区

时间同步服务

#服务名称：chronyd.service
#服务配置：/etc/chrony/conf

#在117上作为时间源同步217时间
#在217主机设定：
vim /etc/chrony.conf
allow 0.0.0.0/0 #允许所有网段同步时间
local stratum 10 #开启时间同步服务器功能并设定级别为10

systemctl restart chronyd.service
systemctl stop firewalld

#在117主机设定：
vim /etc/chrony.conf
pool 172.25.254.217 iburst

systemctl restart chronyd

即117可以同步217的时间