linux学习笔记（十）：linux系统中日志管理

一.journald

服务名称：systemd-journald.service
journalctl
默认日志存放路径： /run/log

1.journalctl命令的用法

journalctl
-n 3		日志的最新3条
–since “2020-05-01 11:00:00”		显示11：00后的日志
–until “2020-05-01 11:05:00”		显示日志到11：05
-o		设定日志的显示方式
	short	经典模式显示日志
	verbose	显示日志的全部字节
	export	适合传出和备份的二进制格式
	json	js格式显示输出
-p		显示制定级别的日志
0	emerg	系统的严重问题日志
1	alert	系统中立即要更改的信息
2	crit	严重级别会导致系统软件不能正常工作
3	err	程序报错
4	warning	程序警告
5	notice	重要信息的普通日志
6	info	程序排错信息
7	debug	适合传出和备份的二进制格式
-F	PRIORITY	查看可控日志级别
-u	sshd	指定查看服务
–disk-usage		查看日志大小
–vacuum-size=1G		设定日志存放大小
–vacuum-time=1W		日志在系统中最长存放时间
-f		监控日志
journalctl _PID=10924 _SYSTEMD_UNIT=sshd.service

-n 3：

–since"2021-04-08 11:00" --until"2021-04-09 11:00"

-p:

-F:

-u:

–disk-usage:

–vacuum-size:

–vacuum-time:

-f:

2.用journald服务永久存放日志

系统中默认日志在:/run/log/journal中
默认方式在系统重启后日志会被清理要永久保存日志请完成以下操作：
mkdir /var/log/journal                       建立新日志目录
chgrp systemd-journal /var/log/journal       更改目录用户组
chmod 2775 /var/log/journal                  日志存放目录权限设置：强制位、rwx rwx r-x 
systemctl restart systemd-journald           重启服务
当服务重启日志存放路径会被存储到：/var/log/journal

注：日志文件不可读，只能在journalctl中查看
测试：
本次日志：

重启服务后日志（原日志被保存）：

二. rsyslog

服务名称：rsyslog.service
日志存放：
/var/log/messages      系统服务日志，常规信息，服务报错
/var/log/secure        系统认证信息日志
/var/log/maillog       系统邮件日志信息
/var/log/cron          系统定时任务信息
/var/log/boot.log      系统启动日志信息
配置文件：/etc/rsyslog.conf

日志类型	说明
auth	用户认证
authpriv	服务认证
cron	时间任务
kern	内核类型
mail	邮件
news	系统更新消息
user	用户

日志级别	说明
debug	程序排错信息
info	程序常规运行信息
warning	程序警告
err	程序报错
crit	严重级别导致系统软件不能正常工作
alert	系统立即要更改的信息
emerg	系统的严重问题日志
none	不采集

1.自定义日志采集路径

修改日志配置文件：
vim /etc/rsyslog.conf

配置输出信息及路径：

重启服务、清空日志存放文件（/var/log/westos）:

2.日志远程同步

172.25.254.110  存放日志，所有人日志都存放到该主机
172.25.254,210  发送方

1.设定接受所有人日志：

主机端：
systemctl stop firewalld 关闭防火墙
vim /etc/rsyslog.conf    打开UDP端口

发送方：

vim /etc/rsyslog.conf    配置日志发送至主机
@                        表示使用udp传输日志
@@                       表示使用tcp传输日志
@172.25.254.110
把本机日志用udp的传输方式发送到172.25.254.110主机

2.更改采集格式：

测试：

发送方：
logger hello

三.timectl

timedatectl:

timedatectl list-timezones(查看地区):

timedatectl set time “2021-11-11 11:11:11”:

timedatectl set-timezone “Africa/Dakar”:

timedatectl set-local-rtc 1 (设定当前时间为真实时间):

timedatectl set-local-rtc 0 (设定系统时间为真实时间):

四.时间同步服务

chronyd.service            服务名称
/etc/chrony.conf           配置文件

主机端：

以172.25.254.110 为时间源同步时间
vim /etc/chrony.conf  
允许所有网段主机同步时间
开启时间同步服务器功能并设定级别为10

客户端：

vim /etc/chrony.conf 

设定同步主机

重启服务：
主机：

客户端：

查看时间：

查看时间效果：