Liunx基础---------------------第十章日志管理

一、rsyslog系统日志管理

1.处理日志的进程

第一类：

        rsyslogd：系统专职日志程序，处理绝大部分日志记录，系统操作有关的信息，如登录信息，程序启动关闭信息，错误信息

第二类：

        httpd/ngnix/mysql:各类应用程序，可以以自己的方式记录日志讲解对应程序时会逐步介绍

观察rsyslogd程序   pa  aux  |  grep  rsyslogd

2.常见的日志文件（系统，进程，应用程序）

• tail  -10  /var/log/messages          系统主日志文件
• tail  -f   /var/log/message              动态查看日志文件的尾部
• tailf   /var/log/secure                     认证，安全
• tail  /var/log/yum.log                      yum
• tail  /var/log/maillog                       跟邮件postfix有关
• tail  /var/log/cron                            crond，at进程产生的日志
• tail  /var/log/dmesg                        跟系统启动相关

了解

• tail   /var/log/audit/audit.log          系统审计日志
• tail   /var/log/mysqld.log                Mysql
• tail   /var/log/xferlog                       和访问FTP服务器相关
• tail  /var/log/wtmp                          当前登录的用户（命令：w）
• tail  /var/log/btmp                           最近登陆的用户（命令：last）
• tail  /var/log/lastlog                         所有用户的登录情况（命令lastlog）

3.rsyslogd配置

3.1相关程序

yum  install  rsyslog   logrotate   默认已安装

3.2启动程序

systemctl    start    rsyslog.service

3.3相关文件

rpm   -qc    rsyslog      观察日志程序的配置文件

• /etc/rsyslog.conf                rsyslogd的主配置文件（关键）
• /etc/sysconfig/rsyslog        rsyslog相关文件，定义级别（了解）
• /etc/logrotate.d/syslog       和日志办轮转

man   help   命令详细介绍

4.主配置文件

vim    /etc/rsyslog.conf            告诉rsyslogd进程什么日志，应该存到哪里

主配置文件中包含一下几个部分

4.1RULES

rules：规则，是一套生成日志，以及存储日志的策略

规则由设备+级别+存放位置组成。   RULES由FACILITY+LEVEL+FILE组成

例如：

        authpriv.*                           /var/log/secure（SSH信息）

        mail.*                                -/var/log/maillog（发邮件）-表示使用异步的方式，因为                                                                                                       日志一般会比较大

        cron.*                                /var/log/cron（创建任务）

        *info;mailnone;authpriv.none;cron.none        /var/log/messages                                                                                                                    系统日志排除了邮件，认证，计划日志。

4.2 FACILITY----------facility设备

facility：是系统对某种类型APP事件的定义，如AUTHPRIV是安全事件，CRON是计划任务事件。用来收集同类程序日志。man  3   syslog

设备类型

        LOG_SYSLOG                        syslogd自身产生的日志

        LOG_AUTHPRIV                     安全认证

        LOG_CRON                             调度程序

        LOG_MAIL                               邮件系统mail   subsystem

        LOG_USER(default)                用户相关

        LOG_DAEMON                       后台进程

        LOG_FTP                                文件服务器ftp  daemon

        LOG_KERN                             内核设备kernel  messages

        LOG_LPR

        LOG_LOCAL0  through  LOG_LOCAL 7                用户自定义设备

4.3LEVEL

level级别

        LOG_EMERG                紧急，致命，服务无法继续运行，如配置文件丢失

        LOG_ALERT                  报警，需要立即处理，如磁盘空间使用95%

        LOG_CRIT                     致命行为

        LOG_ERR                      错误行为

        LOG_WARNING            警告行为

        LOG_NOTICE                普通，重要的标准信息

        LOG_INFO                     标准信息

        LOG_DEBUG                 调试信息，排错所需，一般不建议使用

二、logrotate日志轮转

1.简介

日志记录了程序运行时各种信息，通过日志可以分析用户行为，记录运行轨迹，查找程序问题，可惜磁盘空间是有限的。日志轮转就像飞机的黑匣子，记录的信息再重要也只能记录最后一段时间发生的事，为了节省空间和整理方便，日志文件经常需要按时间或大小等维度分成许多份，删除时间久远的日志文件。

2.工作原理

按照配置进行轮转

2.1配置文件种类

主文件夹：/etc/logrotate.conf（决定每个日志文件如何轮转）

子文件夹：/etc/logrotate.d/*    自定义配置，便于管理

2.2观察主文件和子文件

ls   /etc/logrotate.conf    /etc/logrotate.d

3.主配置文件介绍

vim   /etc/logrotate.conf

=============全局设置=============

weekly                     轮转的周期，一周轮转

rotate   4                  保留4份

create                       轮转后创建新文件

dateext                     使用日期作为后缀

compress                 是否压缩

include    /etc/logrotate.d              包含该目录下的子配置文件

================================================

/var/log/wtmp{                        对某日志文件设置轮转的方法

monthly                                 一月轮转一次

minsize   1M                         最小达到1M才轮转

create  0664   root    utmp    轮转后创建新文件，并设置权限

rotate    1}                             保留一份

======================================

/var/log/btmp{

missingok                                丢失不提示

monthly                                    每月轮转一次

create  0600  root  utmp          轮转后创建新文件，并设置权限

rotate  1}                                  保留一份

4.yum日志轮转实例

轮转目标文件/var/log/yum.log

配置轮转规则

vim  /etc/logrotate.d/yum

/var/log/yum.log{

missingok

#notifempty

#size  30k

#yearly

daily

rotate  3

create  0777  root  root}

测试：

错误示范

/usr/sbin/logrotate   /etc/logrotate.conf    手动轮转

ls   /var/log/yum*

/var/log/yum.log   

正确示范

修改时间，手动触发轮转    date   04011000

/usr/sbin/logrotate  -s   /var/lib/logrotate/logrotate.status   /etc/logrotate.conf

ls   /var/log/yum*      日志文件已经出现多个

grep   ‘yum’   /var/lib/logrotate/logrotate.status     记录所有日志文件最近轮转的时间