系统日志

/etc/rsyslog.conf 日志 配置文件     (46 #### RULES ####)

> /var/log/messages 清空

systemctl restart rsyslog.service  重起日志采集服务（ 不生产日志只采集日志）

当关闭rsyslog服务后不再采集日志，但重新开启后仍会采集关闭之后的日志
1.日志采集规则
*.*               文件名称
日至类型.日至级别 日志存放文件


日志类型
auth    #用户登陆日志（pam产生日至）
authpriv     #服务认证日志（sshd认证）
kern           #内核日志
cron           #定时任务日志
lpr             #打印机日志
mail          #邮件日志
news        #新闻
user         #用户相关程序日志
local 1-7 #用户自定义日志


日志级别
debug           #系统调制信息
info               #常规信息
warning        #警告信息
err                #报错（级别 低，阻止了某个功能不能正常工作 ）
crit               #报错（级别 高，阻止了整个软件或整个系统不能正常工作）
alert             #需要立即修改的信息
emerg         #内核崩溃
none           #不采集任何日志信息


e.g.
auth.debug   /var/log/westos
auth.*           dir
*.*                /var/log/log.all


系统常用日志
/var/log/message   #所有日志级别的常规信息（不包含邮件，服务认证，定是任务）
/var/log/maillog   #邮件日志
/var/log/secure    #服务认证日志
/var/log/cron      #定时任务日志


2.日志的远程同步


在日志发送方
vim /etc/rsyslog.conf
      
*.*  @172.25.254.133 #日志接收端
     
systemctl restart rsyslog.service




日志接收方
vim /etc/rsyslog.conf
     
14 # Provides UDP syslog reception
15 $ModLoad imudp14                              #UDP协议插件
16 $UDPServerRun 514                             #使用的接口
 

systemctl restart rsyslog.service
systemctl stop firewalld.service                 #关闭火墙
systemctl disable firewalld.service              #设置火墙开机不启动

3.定义日志采集格式
vim /etc/rsyslog.conf
$template 格式名称，“日志采集格式”
 54 $template westos,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"
 55
 56 *.info;mail.none;authpriv.none;cron.none                /var/log/messages;westos


%timegenerated%    #日志生成时间
%FORMHOST-IP%    #日志来源主机的ip
%syslogtag%            #日志生成程序
%msg%                    #日志内容
\n                             #换行

4.journalctl  

journalctl                     #日志查看工具，直接查看内存中的日志                                                                   journalctl -n 3                 #最新3行                                                                                                                       journalctl -p err           #查看报错日志                                                                                                               journalctl -f                         #监控 ctrl+c结束监控                                                                                           journalctl --since 01:40  --until 01:51        #查看一段时间内的日志                                                                          journalctl -o verbose                #查看日志详细参数                                                                                             journalctl _PID=651

5.对systemd-journald管理
默认此程序只负责对日志进行查看而不对日志进行保存和采集
那么关机后在开机，对日志进行查看，只能查看到开机后的日志，系统之前的日志因为是保存在内存中的，所以关机后就被清空了，那么在开机是用journalctl看不到的


如何让systemd-journald保存日志到硬盘中

mkdir /var/log/journal
chgrp systemd-journal /var/log/journal
chmod g+s /var/log/journal
killall -1 systemd-journald

journalctl -n 3
date
reboot
journalctl

6.时间同步
在服务器端共享时间
vim /etc/chrony.conf
29 29 local stratum 10 #开启时间共享功能并设定共享级别
    #这个参数开启后本纪不去同步别人的时间到本机
22 allow 172.25.254.0/24  #允许哪些客户端来访问本机共享时间
systemctl restart chronyd


在客户端
vim /etc/chrony.conf
server 172.25.254.100 iburst


systemctl restart chronyd


chronyc sources -v


#####timedatectl set-time "11:11:11"######   更改时间


7.timedatectl   
timedatectl list-timezones   #查看所有时区
timedatectl set-tiemzone Asia/Shanghai   #设置时区
timedatectl set-local-rtc 0              
vim /etc/adjtime
timedatectl set-local-rtc 1
vim /etc/adjtime