Linux日志

日志介绍

日志产生方式

第一类：

rsyslogd：系统专职日志程序，处理绝大部分日志记录，系统操作相关的信息，如登录信息，程序启动关闭相关信息，错误信息等。

第二类：

各类应用程序(nginx、httpd、mysql等）以自己的方式记录日志

常见的日志文件

• /var/log/message：红帽系统主日志文件；Ubuntu中为/var/log/syslog
• /var/log/secure：认证、安全相关
• /var/log/yum.log：与yum相关
• /var/log/mailog：邮件postfix相关
• /var/log/cron：与crond、at产生的日志
• /var/log/dmesg：CentOS7之前版本系统引导过程中的信息，开机后的硬件变化不记录。
• /var/log/boot.log：系统服务启动的相关信息；Ubuntu中没有此文件
• /var/log/audit/audit.log：系统审计日志
• /var/log/mysqld.log：与mysql相关
• /var/log/xferlog：访问ftp服务器相关
• /var/log/wtmp：当前系统用户正常登录的信息，二进制格式（命令last查看）
• /var/log/btmp：用户登录失败的信息，二进制格式（命令lastb查看）
• /var/log/lastlog：所有用户的登录情况（命令lastlog）

注意：保存日志的文件 /var/log/message 等不能手动vim编辑，手动改了后需要重启rsyslog.service，否则不会再产生新的日志信息。

日志所需的相关服务与程序

• systemd-journald.service       
  • 由systemd提供的服务，主要记录与服务、开机引导有关的日志。当服务运行时，它才会生成相关的日志。这些日志以二进制文件的形式保存在内存中。如果系统被重启或关机，systemd-journald.service保存的日志将会丢失
• rsyslog.service    
  • 传统的日志管理服务，用于收集来自内核、系统早期的启动阶段的日志以及系统守护进程在启动和运行中的标准输出。rsyslog可以保存到磁盘上，因此即使系统重启，日志也不会丢失。
• logrotate    
  • 日志轮转

日志格式

 时间  主机名  服务名/指令名  实际信息

[root@wenzi ~]# cat /var/log/secure
Oct 20 17:16:45 wenzi sshd[1279]: Accepted password for root from 192.168.28.1 port 2958 ssh2
Oct 20 17:16:45 wenzi sshd[1279]: pam_unix(sshd:session): session opened for user root by (uid=0)
...

rsyslog.service

传统的日志管理服务，用于收集来自内核、系统早期的启动阶段的日志以及系统守护进程在启动和运行中的标准输出。rsyslog可以保存到磁盘上，因此即使系统重启，日志也不会丢失。

特性

1、多线程

2、UDP、TCP、SSL、TLS、RELP

3、MySQL，PGSQL，Oracle实现日志储存

4、强大的过滤器，实现过滤记录日志信息中任意部分

5、自定义输出格式

术语

facility

设施，从功能或程序上对日志进行分类

内置分类

• syslog：syslogd自身产生的日志
• authpriv：安全认证
• cron：与计划任务相关
• mail：邮件系统
• user(default)：用户相关
• daemon：后台进程
• ftp：文件服务器ftp
• kern：内核设备
• lpr：打印机设备
• new：标记新的事件或问题，类似于“告警”
• uucp：与UUCP通信相关的消息。

自定义分类

local0 —— local7

priority

优先级。

从高到低为：

• emerg(panic)：紧急，致命，系统几乎要宕机
• alert：警告
• crit(critical)：临界点
• err(error)：错误
• warn(warning)：警示的信息
• notice：正常，但比info要多注意一些
• info：基本信息的说明
• debug：用于排错时产生的信息数据，事无巨细全部记录

帮助文档

man 3 syslog，man logger

相关文件

程序包：rsyslog

主程序：/usr/sbin/rsyslogd

Ubuntu: /usr/lib/systemd/system/rsyslog.service

CentOS 6：/etc/rc.d/init.d/rsyslog {start|stop|restart|status}

CentOS 7,8：/usr/lib/systemd/system/rsyslog.service

配置文件：/etc/rsyslog.conf，/etc/rsyslog.d/*.conf

库文件： /lib64/rsyslog/*.so

配置文件

/etc/rsyslog.conf 配置文件三部分组成：

• modules：相关模块配置
• global directives：全局配置
• rules：日志记录相关的规则配置

格式

服务名称[.=!]日志等级        记录日志的文件名或主机名

日志等级

. ：代表比后面还要严重的等级（含该等级）都被记录下来，最常用

.=：仅仅是所需要的等级记录下来

.!：除去该等级外的都记录下来

none：不包含某些日志

将ssh服务的日志和cron服务的日志都保存在 /var/log/a.log的文件中，但这两个
程序的警告信息额外记录在/var/log/b.log中，用法如下：
vim /etc/rsyslog.conf
ssh.*;cron.*    /var/log/a.log
ssh.=warn;cron.=warn    /var/log/b.log

使message日志文件不保存ssh服务和cron服务的日志，用法如下：
*.*;ssh.none;cron.none    /var/log/message

设定保存日志的文件或主机

• 文件的绝对路径：通常是 /var/log 里的文件
• 打印机或其它设备：如 /dev/lp0 此打印机设备
• 使用者名称：显示给用户看
• 发送给远程主机：如 @host，把日志送往指定的远程UDP日志服务器；@@host，把日志送往指定的远程TCP日志服务器
• *：表示当前在线的所有人

日志文件格式

事件产生的日期时间        主机        进程(pid)        事件内容

将系统的所有日志都额外保存至 /var/log/wenzi.log

[root@wenzi ~]# vim /etc/rsyslog.conf
...
# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log

*.info                                                  /var/log/wenzi.log

...

[root@wenzi ~]# systemctl restart rsyslog.service
[root@wenzi ~]# ll /var/log/wenzi.log
-rw------- 1 root root 780 Oct 23 18:52 /var/log/wenzi.log
[root@wenzi ~]# cat /var/log/wenzi.log
Oct 23 18:52:45 wenzi systemd: Stopping System Logging Service...
Oct 23 18:52:45 wenzi rsyslogd: [origin software="rsyslogd" swVersion="8.24.0-55.el7" x-pid="819" x-info="http://www.rsyslog.com"] exiting on signal 15.
Oct 23 18:52:45 wenzi systemd: Stopped System Logging Service.
Oct 23 18:52:45 wenzi systemd: Starting System Logging Service...
Oct 23 18:52:45 wenzi rsyslogd: [origin software="rsyslogd" swVersion="8.24.0-55.el7" x-pid="43129" x-info="http://www.rsyslog.com"] start
Oct 23 18:52:45 wenzi systemd: Started System Logging Service.
Oct 23 18:52:45 wenzi polkitd[526]: Unregistered Authentication Agent for unix-process:43122:5008907 (system bus name :1.85, object path /org/freedesktop/PolicyKit1/AuthenticationAgent, locale en_US.UTF-8) (disconnected from bus)

将SSH服务的日志记录到自定义的local的日志设备

修改sshd配置
[root@wenzi ~]$vim /etc/ssh/sshd_config
...
SyslogFacility local2
...

[root@wenzi ~]$systemctl restart sshd


修改rsyslog配置
[root@wenzi ~]$vim /etc/rsyslog.conf
...
local2.*                                                /var/log/sshd.log

[root@wenzi ~]$systemctl restart rsyslog.service


从192.168.28.31登录本机，观察日志
[root@wenzi ~]$tail /var/log/sshd.log
Feb  1 13:08:21 wenzi sshd[12330]: Accepted password for root from 192.168.28.31 port 38484 ssh2
手动测试日志
[root@wenzi ~]$logger -p local2.info "Test SSHD"
[root@wenzi ~]$tail /var/log/sshd.log
Feb  1 13:08:21 wenzi sshd[12330]: Accepted password for root from 192.168.28.31 port 38484 ssh2
Feb  1 13:23:16 wenzi root[38711]: Test SSHD

启用网络日志服务

为了日志安全

1. 可使用 chattr +a 日志文件名  ，使日志只能增加不能被删除。
2. 防止日志被恶意删除，可将日志传输至其它主机。

CentOS6/7启用网络日志功能

二选一即可
一、使用UDP传输
$ModLoad imudp
$UDPServerRun 514
二、使用TCP传输
$ModLoad imtcp
$InputTCPServerRun 514

CentOS8启用网络日志功能

二选一
一、使用UDP传输
module(load="imudp") # needs to be done just once
input(type="imudp" port="514")
二、使用TCP传输
module(load="imtcp") # needs to be done just once
input(type="imtcp" port="514")

将CentOS8 192.168.28.30 的日志传输至ubuntu 192.168.28.50

在日志服务器Ubuntu配置。
[root@wenzi ~]#vim /etc/rsyslog.conf
module(load="imtcp")
input(type="imtcp" port="514")

[root@wenzi ~]#systemctl restart rsyslog.service


在客户端CentOS8
[root@wenzi ~]$vim /etc/rsyslog.conf
*.info                                                  @@192.168.28.50:514

[root@wenzi ~]$systemctl restart rsyslog.service
[root@wenzi ~]$logger "This is test log"


在Ubuntu查看
[root@wenzi ~]#tail -f /var/log/syslog
Feb  1 14:04:42 wenzi root[2634]: This is test log

其中Ubuntu作为日志服务器，日志默认存储的位置可通过子配置文件查看

[root@wenzi ~]#ls /etc/rsyslog.d/
20-ufw.conf  21-cloudinit.conf  50-default.conf
这三项前面的数字表示优先级
下面配置定义了日志存放路径，所以，可见CentOS8的日志默认保存至本机/var/log/syslog中
[root@wenzi ~]#vim /etc/rsyslog.d/50-default.conf
...
auth,authpriv.*         /var/log/auth.log
*.*;auth,authpriv.none      -/var/log/syslog
#cron.*             /var/log/cron.log
#daemon.*           -/var/log/daemon.log
kern.*              -/var/log/kern.log
#lpr.*              -/var/log/lpr.log
mail.*              -/var/log/mail.log
#user.*             -/var/log/user.log

#
# Logging for the mail system.  Split it up so that
# it is easy to write scripts to parse these files.
#
#mail.info          -/var/log/mail.info
#mail.warn          -/var/log/mail.warn

利用MySQL存储日志

192.168.28.30        CentOS8        rsyslog日志服务器

192.168.28.40        Rocky8           mysql数据库服务器

---------------------------------------CentOS8
安装连接mysql模块相关的包
[root@wenzi ~]$yum -y install rsyslog-mysql
[root@wenzi ~]$rpm -ql rsyslog-mysql
/usr/lib/.build-id
/usr/lib/.build-id/e6
/usr/lib/.build-id/e6/aa0e40c19a2e0524d72780eee3b1698684cbe7
/usr/lib64/rsyslog/ommysql.so    需要使用的库
/usr/share/doc/rsyslog/mysql-createDB.sql    需要使用的脚本

查看脚本内容，此脚本是自动生成存储日志信息相关库、表
[root@wenzi ~]$cat /usr/share/doc/rsyslog/mysql-createDB.sql
CREATE DATABASE Syslog;    #Ubuntu中没有此行，需要手动创建Syslog数据库
USE Syslog;
CREATE TABLE SystemEvents
(
        ID int unsigned not null auto_increment primary key,
        CustomerID bigint,
        ReceivedAt datetime NULL,
        DeviceReportedTime datetime NULL,
        Facility smallint NULL,
        Priority smallint NULL,
        FromHost varchar(60) NULL,
        Message text,
        NTSeverity int NULL,
        Importance int NULL,
        EventSource varchar(60),
        EventUser varchar(60) NULL,
        EventCategory int NULL,
        EventID int NULL,
        EventBinaryData text NULL,
        MaxAvailable int NULL,
        CurrUsage int NULL,
        MinUsage int NULL,
        MaxUsage int NULL,
        InfoUnitID int NULL ,
        SysLogTag varchar(60),
        EventLogType varchar(60),
        GenericFileName VarChar(60),
        SystemID int NULL
);

CREATE TABLE SystemEventsProperties
(
        ID int unsigned not null auto_increment primary key,
        SystemEventID int NULL ,
        ParamName varchar(255) NULL ,
        ParamValue text NULL
);

将脚本传输至数据库服务器rocky8
[root@wenzi ~]$rsync /usr/share/doc/rsyslog/mysql-createDB.sql 192.168.28.40:/root/

---------------------------------------Rokcy8
安装数据库 mysql-server 8.0.26
[root@wenzi ~]#yum -y install mysql-server
创建用户并授权
[root@wenzi ~]#mysql
mysql> source mysql-createDB.sql;
Query OK, 1 row affected (0.00 sec)

mysql> create user rsyslog@'192.168.28.%' identified by 'Admin.';
Query OK, 0 rows affected (0.00 sec)

mysql> grant all on Syslog.* to rsyslog@'192.168.28.%';
Query OK, 0 rows affected (0.01 sec)

---------------------------------------CentOS8
配置日志服务器将日志发送给指定数据库
[root@wenzi ~]$vim /etc/rsyslog.conf
module(load="ommysql")
*.info         :ommysql:192.168.28.40,Syslog,rsyslog,Admin.

[root@wenzi ~]$systemctl restart rsyslog.service

在日志服务器测试        logger "This is test log-to-mysql"

在数据库服务器查看        select * from Syslog.SystemEvents\G;

logrotate日志轮转

软件包：logrotate

主配置文件：/etc/logrotate.conf 设定每个日志文件如何轮转

子配置文件夹：/etc/logrotate.d/* 自定义配置，便于管理

程序文件：/usr/sbin/logrotate

计划任务：/etc/cron.daily/logrotate

/etc/logrotate.conf（CentOS7）

由上可知，logrotate语法格式为

• 档名：被处理的日志文件的绝对路径，写在前面，使用空格分割多个日志文件
• 参数：参数用{}包括起来，参数如：monthly、create等
• 执行脚本：进行额外的命令，需要用 sharedscripts 和 endscript 包括起来。使用场景
  • prerotate：启动logrotate之前进行的命令，如修改文件属性等；
  • postrotate：启动logrotate之后进行的命令，如重新启动某服务；

配置参数

compress	通过gzip压缩转储以后的日志
nocompress	不压缩
copytruncate	用于还在打开中的日志文件，把当前日志备份并截断
nocopytruncate	备份日志文件但是不截断
create mode owner group	转储文件，使用指定的权限，所有者，所属组创建新的日志文件
nocreate	不建立新的日志文件
delaycompress	和 compress 一起使用时，转储的日志文件到下一次转储时才压缩
nodelaycompress	覆盖 delaycompress 选项，转储同时压缩
errors address	专储时的错误信息发送到指定的Email 地址
ifempty	即使是空文件也转储，此为默认选项
notifempty	如果是空文件的话，不转储
mail address	把转储的日志文件发送到指定的E-mail 地址
nomail	转储时不发送日志文件
olddir directory	转储后的日志文件放入指定目录，必须和当前日志文件在同一个文件系统
noolddir	转储后的日志文件和当前日志文件放在同一个目录下
prerotate/endscript	在转储以前需要执行的命令，这两个关键字必须单独成行
postrotate/endscript	在转储以后需要执行的命令，这两个关键字必须单独成行
daily	指定转储周期为每天
weekly	指定转储周期为每周
monthly	指定转储周期为每月
rotate count	指定日志文件删除之前转储的次数，0指没有备份，5指保留5个备份
tabooext [+] list	让logrotate不转储指定扩展名的文件，缺省的扩展名是：rpm-orig，.rpmsave，v和~
size size	当日志文件到达指定的大小时才转储，默认bytes，可用KB，MB
sharedscripts	默认，对每个转储日志运行prerotate和postrotate脚本，日志文件的绝对路径作为第一个参数传递给脚本。这意味着单个脚本可以针对与多个文件匹配的日志文件条目多次运行（例如/var/log/example/*.log）. 。如果指定此项sharedscripts，则无 论有多少个日志与通配符模式匹配，脚本都只会运行一次
nosharedscripts	针对每一个转储的日志文件，都执行一次prerotate 和 postrotate脚本，此为默认值
missingok	如果日志不存在，不提示错误，继续处理下一个
nomissingok	如果日志不存在，提示错误，此为默认值

示例：针对 /var/log/message 文件增加 chattr +a 属性，同时不影响logrotate轮转，设定如下

[root@wenzi ~]# vim /etc/logrotate.d/syslog
/var/log/cron
/var/log/maillog
/var/log/messages
/var/log/secure
/var/log/spooler
{
    sharedscripts
    prerotate    #轮转前去掉chattr a 属性
        /usr/bin/chattr -a /var/log/messages
    endscript

    sharedscripts
    postrotate
        #重新加载rsyslog.conf配置
        /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
        /usr/bin/chattr +a /var/log/messages    #轮转后恢复chattr a 属性
    endscript
}

示例：手动创建日志文件test.log，自定义test的日志轮转规则，进行实验

生成日志文件test.log
[root@wenzi ~]$dd if=/dev/zero of=/var/log/test bs=1M count=2
[root@wenzi ~]$ll /var/log/test
-rw-r--r-- 1 root root 2097152 Feb  1 15:20 /var/log/test

自定义test的轮转规则
[root@wenzi ~]$vim /etc/logrotate.d/test
[root@wenzi ~]$cat /etc/logrotate.d/test
/var/log/test.log {
  daily
  rotate 5
  compress
  delaycompress
  missingok
  dateext
  size 1M
  notifempty
  create 0640 bin daemon
  sharedscripts
  postrotate
  echo `date +%F_%T` >> /data/test.log
  endscript
}

增大test.log为2M，使之达到轮转规则 size 1M
[root@wenzi ~]$dd if=/dev/zero of=/var/log/test.log bs=1M count=2

手动执行第一次轮转，发现已经将原日志文件转存为test.log.1，且自动新建 bin:daemon 的日志文件
[root@wenzi ~]$logrotate /etc/logrotate.d/test
[root@wenzi ~]$ll /var/log/tes*
-rw-r----- 1 bin  daemon       0 Feb  1 15:25 /var/log/test.log
-rw-r--r-- 1 root root   2097152 Feb  1 15:20 /var/log/test.log.1

增大test.log为2M，使之达到轮转规则 size 1M
[root@wenzi ~]$dd if=/dev/zero of=/var/log/test.log bs=1M count=2

手动执行第二次轮转，发现已将第一次的test.log.1压缩为test.log.2.gz，同时新生test.log和test.log.1
[root@wenzi ~]$logrotate /etc/logrotate.d/test
[root@wenzi ~]$ll /var/log/test*
-rw-r----- 1 bin  daemon       0 Feb  1 15:27 /var/log/test.log
-rw-r----- 1 bin  daemon 2097152 Feb  1 15:26 /var/log/test.log.1
-rw-r--r-- 1 root root      2067 Feb  1 15:20 /var/log/test.log.2.gz

大test.log为2M，使之达到轮转规则 size 1M
[root@wenzi ~]$dd if=/dev/zero of=/var/log/test.log bs=1M count=2

手动执行第二次轮转，本次使用logrotate的全局配置文件
[root@wenzi ~]$cat /etc/logrotate.conf
...
dateext    此项表示使用日期作为旧日志文件的后缀，不再是.1 .2的形式

[root@wenzi ~]$logrotate /etc/logrotate.conf
可见新的日志备份文件后缀为日期 test.log-20240201
[root@wenzi ~]$ll /var/log/test*
-rw-r----- 1 bin  daemon       0 Feb  1 15:30 /var/log/test.log
-rw-r----- 1 bin  daemon 2097152 Feb  1 15:29 /var/log/test.log.1
-rw-r----- 1 bin  daemon 2097152 Feb  1 15:29 /var/log/test.log-20240201
-rw-r----- 1 bin  daemon    2067 Feb  1 15:26 /var/log/test.log.2.gz
-rw-r--r-- 1 root root      2067 Feb  1 15:20 /var/log/test.log.3.gz

查看/data/test，记录了每次轮转后新日志文件产生的时间
[root@wenzi ~]$cat /data/test.log
2024-02-01_15:25:04
2024-02-01_15:27:09
2024-02-01_15:29:14

systemd-journald.service

由systemd提供的服务，主要记录与服务、开机引导有关的日志。当服务运行时，它才会生成相关的日志。这些日志以二进制文件的形式保存在内存中。如果系统被重启或关机，systemd-journald.service保存的日志将会丢失

配置文件：/etc/systemd/journald.conf

命令

查看系统中所有的journal日志数据

[root@wenzi ~]# journalctl
-- Logs begin at Fri 2023-10-20 17:13:05 CST, end at Mon 2023-10-23 22:01:01 CST. --
Oct 20 17:13:05 wenzi.localhost systemd-journal[92]: Runtime journal is using 8.0M (max allowed 90.9M, trying to leave 136.4M free of 901.6M available → current limit 90.9M).
Oct 20 17:13:05 wenzi.localhost kernel: Initializing cgroup subsys cpuset
Oct 20 17:13:05 wenzi.localhost kernel: Initializing cgroup subsys cpu
Oct 20 17:13:05 wenzi.localhost kernel: Initializing cgroup subsys cpuacct
Oct 20 17:13:05 wenzi.localhost kernel: Linux version 3.10.0-1160.el7.x86_64 (mockbuild@kbuilder.bsys.centos.org) (gcc version 4.8.5 20150623 (Red Hat 4.8.5-44) (GCC) ) #1 SMP Mon Oct 19 16
Oct 20 17:13:05 wenzi.localhost kernel: Command line: BOOT_IMAGE=/vmlinuz-3.10.0-1160.el7.x86_64 root=UUID=ade57fdf-a1c2-459b-a63b-2c42b755328b ro crashkernel=auto rhgb quiet LANG=en_US.UTF
Oct 20 17:13:05 wenzi.localhost kernel: e820: BIOS-provided physical RAM map:
Oct 20 17:13:05 wenzi.localhost kernel: BIOS-e820: [mem 0x0000000000000000-0x000000000009ebff] usable
...

显示今天的日志数据

journalctl --since today

显示最新的10条昨天至今天的crond.service的数据

journalctl _SYSTEMD_UNIT=crond.service --since yesterday --until today -n 10

显示su、login命令产生的日志

journalctl _COMM=su _COMM=login

显示日志信息级别为error的日志

journalctl -p err

查看所有日志（默认只保存本次启动的日志）

journalctl

查看系统本次启动的日志

journalctl -b

查看系统上一次启动的日志（需要更改设置）

journalctl -b -1

查看指定时间的日志

journalctl --since="2017-10-30 18:10:30"

journalctl --since "20 min ago"

journalctl --since yesterday

journalctl --since "2017-01-10" --until "2017-01-11 03:00"

journalctl --since 09:00 --until "1 hour ago"

查看内核日志（不显示应用日志）

journalctl -k

查看尾部最后10行的日志

journalctl -n 10

实时滚动显示最新日志

journalctl -f

查看指定服务的日志

journalctl /usr/lib/systemd/systemd

查看指定进程的日志

journalctl _PID=进程号

查看指定用户日志

journalctl _UID=用户uid --since today

查看某个unit的日志

journalctl -u nginx.service --since today

分析日志

logwatch

logwatch 是一个用于监控日志文件的工具，它可以自动检测日志文件中的变化并生成报告。默认情况下，logwatch 会监控 /var/log 目录下的所有日志文件，默认每天执行一次

logwatch安装后会在 /etc/cron.daily/ 目录中建立 0logwatch 文件，用于在每天定时执行 logwatch 命令，分析和监控相关日志。

[root@wenzi ~]# yum -y install logwatch
[root@wenzi ~]# ls /etc/cron.daily/
0logwatch  logrotate  man-db.cron

复制 /usr/share/logwatch/default.conf/logwatch.conf 至 /etc/logwatch/conf/ 目录

修改默认配置

被检查的日志文件的目录
LogDir = /var/log
logwatch存储临时文件的目录
TmpDir = /var/cache/logwatch
为mail时，将分析发送至邮箱 为stdout是，显示在屏幕上
Output = mail
设置邮件格式为纯文本
Format = text
不进行邮件编码。
Encode = none
设置接收 Logwatch 工具发送的报告的邮件地址
MailTo = abcdefg@163.com
设置发送报告的邮件的来源地址
MailFrom = 123456789@qq.com
Logwatch 输出文件的路径。
#Filename = /tmp/logwatch
不进行邮件存档
#Archives = No
分析哪天的日志。可以识别“All”“Today”“Yesterday”，用来分析“所有日志”“今天日志”“昨天日志”
Range = yesterday
日志的详细程度。可以识别“Low”“Med”“High”。也可以用数字表示，范围为0～10，“0”代表最不详细，“10”代表最详细
Detail = Med
分析和监控所有服务的日志
Service = All
将指定服务从监控的服务列表中排除
Service = "-zz-network"        
Service = "-zz-sys"                     
Service = "-eximstats"    
设置邮件工具为 "/usr/bin/mailx -t"
mailer = "/usr/bin/mailx -t"
设置logwatch处理日志时忽略哪些主机的日志。因为本机日志文件中可能存在其它主机的日志，如使用514端口传输日志
#HostLimit = myhost,youhost

上述配置文件中使用的工具是mailx，配置好本地 /etc/mail.rc 后，验证

[root@wenzi ~]# logwatch