linux的日志文件

目录

一、日志文件

1、日志文件介绍

2、日志服务

3、EIK

二、rsyslog管理

1、系统日志术语

2、服务名称

3、rsyslog配置文件

4、服务生成日志文件

5、网络日志

---

一、日志文件

1、日志文件的介绍

日志文件是用于记录系统操作事件的记录文件或文件集合，操作系统有操作系统日志文件，数据库系统有数据库系统日志文件，等等。

日志文件内容包括

历史事件：时间、地点、人物、事件

日志级别：事件的关键性程度

2、日志服务

Rsyslog是一个 syslogd 的多线程增强版，在syslog的基础上扩展了很多其他功能，如数据库支持(MySQL, PostgreSQL、Oracle等)、日志内容筛选、定义日志格式模板等。除了默认的udp协议外，rsyslog还支持tcp协议来接收日志。

rsyslog的特性

（1）多线程

（2）UDP、TCP、TLC 、RELP

（3）MysQL 、PGSQL 、Oracle实现日志存储

（4）强大的过滤器、可实现过滤日志信息中任意部分

（5）自定义输出格式

（6）适用于企业中继

3、ELK

由Elasticsearch, Logstash, Kibana三个软件组成

Elasticsearch是个开源分布式搜索引擎，它的特点有：分布式，零配置，自动发现，索引自动分片，索引副本机制，restful风格接口，多数据源，自动搜索负载等。

Logstash是一个完全开源的工具，他可以对你的日志进行收集、过滤，并将其存储供以后使用（如，搜索）

Kibana 也是一个开源和免费的工具，它Kibana可以为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面，可以帮助您汇总、分析和搜索重要数据日志。

二、rsyslog管理

1、系统日志术语

facility：设施，从功能或程序上对日志进行归类

priority:优先级别，从高到低进行排序

日志等级

（1）debug (LOG_DEBUG)

一般的调试信息说明

（2）info (LOG_INFO)

基本的通知信息

（3）notice (LOG_NOTICE)

普通信息但是有一定重要性

（4）warning (LOG_WARNING)

警告信息，但不会影响到服务或系统运行

（5）error(LOG_ERR)

错误信息，一般达到err等级的信息已经可以影响到服务成系统的运行。

（6）crit (LOG_CRIT)

临界状态信息，比err等级还要严

（7）alert (LOG_ALERT)

状态信息，比crit等级还要严重，应该立即采取行动

（8）emerg (LOG_EMERG)

疼痛信息，此状态时系统已经无法使用

（9）*

代表所有日志等级

2、服务名称

（1）auth(LOG AUTH)

安全和认证相关消息 (不推荐使用authpriv替代 ）

（2）authpriv(LOG_AUTHPRIV)

安全和认证的相关信息

（3）cron (LOG_CRON)

系统定时任务和at产生的日志文件

（4）daemon (LOG_DAEMON)

与各个守护进程相关的曰志

（5）ftp (LOG_FTP)

ftp守护进程产生的日志

（6）kern(LOG_KERN)

内核产生的日志文件

（7）Iocal0-local7 (LOG_LOCAL0-7)

为本地预留的服务

（8）lpr (LOG_LPR)

打印产生的日志

（9）mail (LOG_MAIL)

邮件收发信息

3、rsyslog配置文件

/etc/rsyslog.conf文件为三个模块

MODULES： 相关模块配置

GLOBAL DIRECTIVES：全局配置

RULES：日志记录相关的规则配置

4、服务生成日志文件

[root@localhost ~]# vim /etc/ssh/sshd_config
修改ssh配置文件

32 #SyslogFacility AUTHPRIV
 33 SyslogFacility LOCAL6
定义自己的规则

[root@localhost ~]# vim /etc/rsyslog.conf
修改rsyslog配置文件

local6.*                                               /var/log/ssh.log
定义规则


[root@localhost ~]# systemctl restart sshd
刷新远程服务

[root@localhost ~]# systemctl restart rsyslog

刷新rsyslog文件

5、网络日志

在192.168.222.100主机上设置远程服务

[root@localhost ~]# vim /etc/rsyslog.conf
修改配置

$ModLoad imtcp
$InputTCPServerRun 514

19、20行打开tcp模块

[root@localhost ~]# systemctl restart rsyslog.service

刷新服务


在192.168.222.10 主机上设置发送到哪

[root@localhost ~]# vim /etc/rsyslog.conf

修改配置文件

.info;mail.none;authpriv.none;cron.none               @@192.168.222.100

在55行处制定规则

[root@localhost ~]# systemctl restart rsyslog.service

刷新服务

[root@localhost ~]# logger "this is test "
进行验证