系统日志

1. 系统日志默认分类

1. /var/log/messages ##系统服务及日志，包括服务的信息，报错等等
   
2. /var/log/secure ##系统认证信息日志
3. /var/log/maillog ##系统邮件服务信息
4. /var/log/cron ##系统定时任务信息
   
5. /var/log/boot.log ##系统启动信息
   

2. 日志管理服务rsyslog

1. rsyslog负责采集日志和分类存放日志
2. rsyslog日志分类
   （1）vim /etc/rsyslog.conf ##主配置文件
   服务.日志级别 /存放文件
   
   （2）systemctl restart rsyslog
   格式：日志设备(类型).(连接符号)日志级别 日志处理方式(action)
   日志设备(可以理解为日志类型):
   
   日志级别
   
   注意：从上到下，级别从低到高，记录的信息越来越少
   详细的可以查看手册: man 3 syslog

3. 日志同步

1. systemctl stop firewalld ##关闭两台主机的火墙
2. 配置日志发送方 ，通过udp协议把日志发送到106主机
   
3. 配置日志接受方
   $ModLoad imudp ##日志接收插件
   $UDPServerRun 514 ##日志接收插件使用端口
   
4. netstat -anulpe | grep rsyslog
   
   -a ##all
   -n ##不做解析
   -t ##tcp
   -u ##udp
   -p ##进程名称
   -e ##扩展信息
5. 测试：
   （1）> /var/log/messages ##两边都做
   （2）logger test message ##日志发送方
   
   （3）tail -f /var/log/message ##日志接收方
   
6. 日志采集格式
   $template WESTOS, “%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n”
   %timegenerated% ##显示日志时间
   %FROMHOST-IP% ##显示主机ip
   %syslogtag% ##日志记录目标
   %msg% ##日志内容
   \n ##换行
   $ActionfileDefaultTemplate WESTOS
   *.info;mail.none;authpriv.none;cron.none /var/log/messages；<>
7. 日志分析工具journal
   systemd-journald ##进程名称
   journalctl ##直接执行，浏览系统日志
   
   -n 3 ##显示最新3条
   
   -p err ##显示报错
   
   -f ##监控日志
8. 对systemd-journald管理
   默认情况下此程序会忽略重启前的日志信息，如不忽略：
   （1）mkdir /var/log/journal
   （2）chown root:systemd-journal /var/log/journal
   （3）chmod 2755 /var/log/journal
   （4）killall -1 systemd-journald
   （5）ls /var/log/journal/946cb326654d1vd6984466544fd