LINUX系统日志管理

1###系统日志管理###

rsyslog     此服务是用来采集系统日志的，他不产生日志，只是起到了采集作用

2.管理rsyslog
                              /var/log/messages
                              /var/log/secure
                              /var/log/cron
                              /var/log/maillog
3.日志的远程同步
在日志发送方：
vim  /etc/rsyslog.conf
*.*  @172.25.254.200    @表示udp协议发送。@@表示tcp协议发送

systemctl  reatsrt  rsyslog

在日志接受方
vim  /etc/rsyslog.conf
15 modload  imudp
16 udpserverrun 514开启接受端口
systemctl reatsrt rsyslog
stop firewalld关闭火墙
disable firewalld设定火墙开机关闭

测试
在发送方和接受方度清空日志文件
>  /var/log/messages
在日志地发送方
logger test

cat  /var/log/messages   查看日志已经生成
在日志接受方查看
cat  /var/log/messages

日至采集格式的设定
vim  /etc/rsyslog.conf

$template LOGFMT,"%timegenerated%  %FROMHOST-IP%  %syslogtag%  %msg%\n

以百分号为界限，分为5部分
第一部分显示日志时间
第二部分显示主机ip
第三部分日志记录目标
第四部分日志内容
第五部分换行

 

##时间同步服务##
服务名称   chronyd
在服务端：
vim  /etc/chrony.conf
22行  allow 172.25.254.0/24    #允许那些客户端来同步本机时间
29行  local stratum 10               #本机不同步任何主机的时进，本机作为时间源
重启  systemctl restart chronyd
          timedatectl set-timezone Asia/Shanghai 更改当前时区为东8区

在客户端：
vim   /etc/chrony.conf
 server 172.25.254.200 iburst  #本机立即同步200主机的时间
重启  systemctl restart chronyd
          timedatectl set-timezone Asia/Shanghai 更改当前时区为东8区

测试：(在客户端)
chronyc sources -v
210 Number of sources =1
最下边出现^*

 

####timedatectl 命令####
timedatectl                                      #管理系统时间
timedatectl   status                         #显示当前时间信息
                     set-time                        #设定当前时间
                   set-timezone                  #设定当前时区
                  set-local-rtc  0|1              #设定是否使用utc时间
                    list-timezone                 #查看支持的所有时区

 

 

###journal###
1.journalctl                                #日志查看工具
                       -n  3                    #查看最近3条日志
                      -p  err                  #查看错误日志
                      -o  verbose         #查看日志的详细参数
                      --since                 #查看从什么时间开始的日志
                      --until                    #查看到什么时间为止

2.如何使用systemd-journald保存系统日志
默认systemd-journald是不保存系统日志到硬盘的，那么关机后再次开机只能看到本次开机之后的日志，上次关机之前的系统日志是看不到的。
mkdir   /var/log/journal
chgrp   systemd-journal  /var/log/journal
chmod  g+s  /var/log/journal
killall  -1  systemd-journald

mkdir  /var/log/journal
chgrp  systemd-journal  /var/log/journal
chmod  g+s  /var/log/journal
killall  -1  systemd-journald

ls  /var/log/journal
946cb0e      出现一串字符