日志文件分析

最新推荐文章于 2024-01-24 15:36:37 发布

嗨！是阿睿。

最新推荐文章于 2024-01-24 15:36:37 发布

阅读量922

点赞数 2

文章标签： linux 服务器运维

本文链接：https://blog.csdn.net/m0_71888825/article/details/130780874

版权

一、日志文件

1、日志分类

2、日志内容介绍

3、查看rsyslog.conf配置文件，规则配置格式：【设备.级别动作】编辑

3.2 设备字段

4.一些日志保留时间

5.1Linux系统内核日志消息的优先级别

5.2 举例

6.1 分析工具users、w 、last、lastb

编辑二、实验一、将ssh服务日志单独存放

1.关闭服务端和防火墙

2.打开 /etc/rsyslog.conf配置文件

3.添加自定义日志

4.打开/etc/ssh/sshd_config 配置文件

5.配置/etc/ssh/sshd_config文件

6.重启服务

7.在另一台服务器（test2）连接此机（test1）

8.在test2这台服务器查看test1的/var/log/ssg.log日志

三、实验二，配置日志服务器来收集日志

1.配置发送服务器的/etc/rsyslog.conf文件

2.重启发送方的服务

3.查看服务有没有起来

4.配置接受方服务器的/etc/rsyslog.conf配置

一、日志文件

Linux 操作系统本身和大部分服务器程序的日志文件都默认放在目录/var/log/下。

功能：记录系统，程序运行中发生的各种事件。

通过阅读日志，有助于诊断和解决系统系统故障。

1、日志分类

①内核及系统日志

rsyslog 统一管理，主配置文件为/etc/rsyslog.conf

②内核及公共消息日志：

/var/log/messages：记录Linux内核消息及各种应用程序的公共日志信息，
包括启动、IO错误、网络错误、程序故障等。
对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息。

③计划任务日志：

/var/log/cron：记录crond计划任务产生的事件信息。

④系统引导日志：

/var/log/dmesg：记录Linux系统在引导过程中的各种事件信息。

⑤邮件系统日志：

/var/log/maillog：记录进入或发出系统的电子邮件活动。

⑥用户登录日志：

/var/log/secure：记录用户认证相关的安全事件信息。
/var/log/lastlog：记录每个用户最近的登录事件。二进制格式
/var/log/wtmp：记录每个用户登录、注销及系统启动和停机事件。二进制格式
/var/run/btmp：记录失败的、错误的登录尝试及验证事件。二进制格式

vim /etc/rsyslog.conf #查看rsyslog.conf配置文件，

2、日志内容介绍

3、查看rsyslog.conf配置文件，规则配置格式：【设备.级别动作】

3.2 设备字段

auth               用户认证时产生的日志
authpriv           ssh、ftp等登录信息的验证信息
daemon               一些守护进程产生的日志
ftp                   FTP产生的日志
lpr                   打印相关活动
mark               rsyslog服务内部的信息，时间标识
news               网络新闻传输协议(nntp)产生的消息。
syslog               系统日志
uucp               Unix-to-Unix Copy 两个unix之间的相关通信
console               针对系统控制台的消息。
cron               系统执行定时任务产生的日志。
kern               系统内核日志
local0~local7       自定义程序使用
mail               邮件日志
user               用户进程

4.一些日志保留时间

程序日志：一般只保留当天，也有可能保留两天左右。
数据日志、数据库：至少保留半年
用户信息日志:永久保留

企业根据业务需要，自定义保留日志时间

5.1Linux系统内核日志消息的优先级别

数字等级越小，优先级越高，消息越重要

0   EMERG（紧急）：会导致主机系统不可用的情况。如系统崩溃
1   ALERT（警告）：必须马上采取措施解决的问题。如数据库被破坏
2   CRIT（严重）：比较严重的情况。如硬盘错误，可能会阻碍程序的部分功能
3   ERR（错误）：运行出现错误。不是非常紧急，尽快修复的
4   WARNING（提醒）：可能影响系统功能，需要提醒用户的重要事件。不是错误，如磁    盘用了85%等
5   NOTICE（注意）：不会影响正常功能，但是需要注意的事件。无需处理
6   INFO（信息）：一般信息。正常的系统信息
7   DEBUG（调试）：程序或系统调试信息等。包含详细开发的信息，调试程序时使用
   none：没有优先级，不记录任何日志消息。

5.2 举例

mail.info /var/log/maillog ：比指定级别更高的日志级别，包括指定级别自身，保到/var/log/maillog中。
mail.=info /var/log/maillog ：明确指定日志级别为info，保存至/var/log/maillog。
mail.!info /var/log/maillog ：除了指定的日志级别(info)所有日志级别信息，保存至/var/log/maillog。
*.info /var/log/maillog ：所有facility的info级别，保存至/var/log/maillog。
mail.* /var/log/maillog ：mail的所有日志级别信息，都保存至/var/log/maillog。
mail.notice;news.info /var/log/maillog ：mail的notice以上记得日志级别和news的info以上的级别保存至/var/log/maillog。
mail,news.crit -/var/log/maillog ：mail和news的crit以上的日志级别保存/var/log/maillog中；“-”代表异步模式。

异步模式与同步模式