Linux系统日志管理

1.系统日志管理
1）.rsyslog ##此服务是用来采集系统日志的，他不产生日志，只是起到采集的作用
2）.rsyslog的管理
/var/log/messages ##服务信息日志
/var/log/secure ##系统登陆日志
/var/log/cron ##定时任务日志
/var/log/boot.log ##系统启动日志
示例：

2.指定日志采集路径
什么类型的日志 . 什么级别的日志 /var/log/file
日志类型分为：
auth 表示pam产生的日志
authpriv表示ssh,ftp等登陆信息的验证信息
cron表示与时间任务相关的日志
kern表示内核相关日志
Lpr表示打印相关日志
mail表示邮件相关日志
mark(syslog)-rsyslog表示服务内部信息，时间标示
news表示新闻组
user表示用户程序产生的相关信息
uucp表示unix to unix copy ,unix主机之间相关的通讯
注意：从上到下，级别从高到底，记录的信息越来越少
详细可以查看手册：man 3 syslog
3.日志的远程同步
日志发送方：

vim /etc/rsyslog.conf ##打开文件添加下面一行
* . * @172.25.61.150 ##@表示udp协议发送，@@表示tcp协议发送


systemctl restart rsyslog.service 重启很重要
日i志接收方：
vim /etc/rsyslog.conf
15 ModLoad imudp ##日志接收模块
16 UDPServerRun 514 ##开启接收端口

systemctl restart rsyslog.service 重启很重要
systemctl stop firewalld ##关闭火墙
systemctl disable firewall ##设定火墙开机关闭

测试：
在发送方和接受方都清空日志文件 > /var/log/messages
日志发送方： logger test
cat /var/log/messages ##查看文件已经生成
日志接收方查看文件是否生成
发送方

接受方

示例：我们将两个虚拟机分别作为日志发送方和日志接受方
2.日志采集格式的设定
vim /etc/rsyslog.conf
systemctl restart rsyslog
%timegenerated% ##显示日志时间
%FROMHOST-IP% ##显示主机ip
%syslogtag% ##日志记录目标
%msg% ##日志内容
\n ##换行
示例：



4.时间同步服务
服务名称
chronyd
在服务端：vim /etc/chrony.conf
#Allow NTP client access from local network.
allow 172.25.254.50/24 ##允许那些客户端来同步本机时间

#Listen for commands only on localhost.
bindcmdaddress 127.0.0.1
bindcmdaddress ::1

#Serve time even if not synchronized to any NTP server.
local stratum 10 ##本机不同步任何主机的时间，本机作为时间源
systemctl stop firewalld 关闭火墙
systemctl disable firewalld 设定火墙开机关闭
systemctl restart chronyd 重启服务
在客户端
vim /etc/chrony.conf
sysserver 172.25.254.150 iburst ##本机立即同步150主机时间

temctl restart chronyd
systemctl stop firewalld
systemctl disable firewalld
测试：
在客户端:
chronyc sources -v

date 查看时间是否同步
date


时间同步
5.命令journaloctl
timedatectl ##管理系统时间
timedatectl status ##显示当前时间信息
set-time ##设定当前时间
set-timezone ##设定当前时区
set-local-rtc 0|1 ##设定是否使用utc时间
list-timezone ##查看支持的所有时区
6. 命令journaloctl
1.journalctl ##日志查看工具
-n 3 ##查看最近3条日志
-p err##查看错误日志
-o verbose ##查看日志的详细参数
–since ##查看从什么时间开始的日志
–until ##查看到什么时间为止的日志
示例1：查看最近三条日志

示例2：
示例3：

示例4：

2.如何使用systemd-journald保存日志
默认systemd-journald是不保存系统日志到硬盘的
那么关机后再次开机只能看到本次开机之后的日志
上次关机之前的日志是无法查看的
mkdir /var/log/journal
chgrp systemd-journal /var/log/journal
chmod g+s /var/log/journal
killall -l systemd-journald
journalctl
[root@server_sshd ~]# ls /var/log/journal
946cb0e817ea4adb916183df8c4fc817


重启可以看到16：12：12之前的日志，说明系统日志已经被保存到硬盘了。