日志管理之格式采集、时间同步与查看保存

###日至采集格式的设定###

1.存放的路径

vim /etc/rsyslog.conf

2.内容输入格式/定义

$template we,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

定义we的格式

%timegenerated%	显示日志时间
%FROMHOST-IP%	显示主机ip
%syslogtag%	显示记录目标
%msg%	日至记录目标
\n	换行

3.在指定文件中使用we格式
*.* /var/log/westos;we

修改系统默认格式为we
$ActionFileDefaultTemplate we

4.查看指定文件
cat /var/log/westos

###时间同步服务###

命令

chronyd

服务端

vim /etc/chrony.conf

约22行
allow 172.25.254.201/24
/ / 允许谁来同步本机时间
约29行
local stratum 10
/ / 本机作为时间源不同步其他主机的时间

重启服务
systemctl restart chronyd
timedatectl set-timezone Asia/Shanghai

更改当前时区为东八区

客户端

编辑文件
vim /etc/chrony.conf

本机立即同步101主机的时间
server 172.25.254.101 iburst

重启服务

 systemctl restart chronyd

更改当前时区为东八区

timedatectl set-timezone Asia/Shanghai

测试
客户端
chronyc sources -v

timedatectl 命令

timedatectl	管理系统时间
timedatectl status	显示当前时间信息
timedatectl set-time	设定当前时间
timedatectl set-timezone	设定当前时区
timedatectl set-local-rct 0或1	设定是否使用utc时间
timedatectl list-timezoneis	查看支持的时区

1.journal

journalctl	日至查看工具
journalctl -n 3	查看最近3条日志
journalctl -p err	查看错误日志
journalctl -o verbose	查看日志的详细参数
journalctl --since“”	查看从什么时候开始的日至
journalctl --unitl“”	查看到某一时刻为止的日志

journal --since “”–until“”常常组合使用

2.如何使用systemd-journald保存系统日志

默认systemd-journald是不保存系统日志到硬盘的
关机后再次开机只能看到本次开机之后的日志
上次关机之前的日志无法查看

操作步骤

mkdir /var/log/journal     在指定路径建立目录
chgrp systemd-journal /var/log/journal     给新建目录设定组 
chmod g+s /var/log/journal    修改新建目录组的权限使其更加安全
killall -1 systemd-journald      重新加载systemctl-journald配置文件
ls /var/log/journal       显示journal具体信息，查看id地址
ll /var/log/journal/id    查看信息
reboot    重启 
journalctl    再次查看，有之前的信息