Linux系统日志学习

业精于勤，荒于嬉，行成于思，毁于随

在系统出问题时快速查询日志，也许你就能找到问题原因

linux常见日志

• /var/log/boot.log：
  开机的时候系统核心会去侦测与启动硬件，接下来开始各种核心支持的功能启动等。这些流程都会记录在/var/log/boot.log，这个文件只会存在这次开机启动的信息，前次开机的信息并不会被保留下来！
• /var/log/cron：crontab 进程日志
• /var/log/dmesg：
  记录系统在开机的时候核心侦测过程所产生的各项信息。 CentOS 默认将开机时核心的硬件侦测过程取消显示， 因此额外将数据记录在这个文件。
• /var/log/lastlog：
  可以记录系统上面所有的账号最近一次登入系统时的相关信息。 lastlog 指令就是利用这个文件的记录信息来显示的。
• /var/log/maillog 或 /var/log/mail/：
  记录邮件的往来信息，其实主要是记录 postfix (SMTP 协议提供者) 与 dovecot (POP3 协议提供者) 所产生的信息。 SMTP 是发信所使用的通讯协议， POP3 则是收信使用的通讯协议。 postfix 与 dovecot 则分别是两套达成通讯协议的软件。
• /var/log/messages：
  这个文件很重要，几乎系统发生的错误讯息 (或者是重要的信息) 都会记录在这个文件中； 如果系统发生莫名的错误，这个文件是一定要查阅的登录档之一。
• /var/log/secure：
  基本上，只要牵涉到需要输入账号密码的软件，那么当登入时 (不管登入正确或错误) 都会被记录在此文件中。 包括系统的 login 程序、图形接口登入所使用的 gdm 程序、 su, sudo 等程序、还有网络联机的ssh, telnet 等程序， 登入信息都会被记载在这里；
• /var/log/wtmp, /var/log/faillog：
  这两个文件可以记录正确登入系统者的帐户信息 (wtmp) 与错误登入时所使用的帐户信息 (faillog) ！ last 就是读取 wtmp 来显示的， 这对于追踪一般账号者的使用行为很有帮助！
• /var/log/httpd/, /var/log/samba/：
  不同的网络服务会使用它们自己的登录文件来记载它们自己产生的各项讯息！

rsyslog.service 的配置文件：/etc/rsyslog.conf
日志轮替 /etc/logrotate.conf

[root@MyaliyunHost ~]# cat /etc/logrotate.conf |egrep -v '^#|^$'
weekly		#预设每个礼拜对登录档进行一次 rotate 的工作
rotate 4		#保留登录档个数？预设是保留四个！
create		#由于登录档被更名，因此建立一个新的来继续储存！
dateext		#可以让被轮替的文件名加上日期作为文件名！
include /etc/logrotate.d
# 将 /etc/logrotate.d/ 这个目录中的所有文件都读进来执行 rotate 的工作！
/var/log/wtmp {			#仅针对 /var/log/wtmp 所设定的参数
    monthly				#每个月一次，取代每周
    create 0664 root utmp		#指定新建文件的权限与所属账号/群组
	minsize 1M			#文件容量一定要超过 1M 后才进行 rotate (略过时间参数)
    rotate 1				#仅保留一个，亦即仅有 wtmp.1 保留而已。
}
# 这个 wtmp 可记录登入者与系统重新启动时的时间与来源主机及登入期间的时间。
# 由于具有 minsize 的参数，不一定每个月会进行一次！要看文件容量。
# 由于仅保留一个登录档而已，不满意的话可以将他改成 rotate 5 。
/var/log/btmp {
    missingok
    monthly
    create 0600 root utmp
    rotate 1
}

语法格式：
登录文件的绝对路径文件名 … {
个别的参数设定值，如 monthly, compress 等等
}
CentOS 有提供 logwatch 这个登录文件分析程序，可以藉由该程序来了解登录文件信息