目录
2、服务名称
一、日志文件
1、日志文件的介绍
日志文件是用于记录系统操作事件的记录文件或文件集合,操作系统有操作系统日志文件,数据库系统有数据库系统日志文件,等等。
日志文件内容包括
历史事件:时间、地点、人物、事件
日志级别:事件的关键性程度
2、日志服务
Rsyslog是一个 syslogd 的多线程增强版,在syslog的基础上扩展了很多其他功能,如数据库支持(MySQL, PostgreSQL、Oracle等)、日志内容筛选、定义日志格式模板等。除了默认的udp协议外,rsyslog还支持tcp协议来接收日志。
rsyslog的特性
(1)多线程
(2)UDP、TCP、TLC 、RELP
(3)MysQL 、PGSQL 、Oracle实现日志存储
(4)强大的过滤器、可实现过滤日志信息中任意部分
(5)自定义输出格式
(6)适用于企业中继
3、ELK
由Elasticsearch, Logstash, Kibana三个软件组成
Elasticsearch是个开源分布式搜索引擎,它的特点有:分布式,零配置,自动发现,索引自动分片,索引副本机制,restful风格接口,多数据源,自动搜索负载等。
Logstash是一个完全开源的工具,他可以对你的日志进行收集、过滤,并将其存储供以后使用(如,搜索)
Kibana 也是一个开源和免费的工具,它Kibana可以为 Logstash 和 ElasticSearch 提供的日志分析友好的 Web 界面,可以帮助您汇总、分析和搜索重要数据日志。
二、rsyslog管理
1、系统日志术语
facility:设施,从功能或程序上对日志进行归类
priority:优先级别,从高到低进行排序
日志等级
(1)debug (LOG_DEBUG)
一般的调试信息说明
(2)info (LOG_INFO)
基本的通知信息
(3)notice (LOG_NOTICE)
普通信息但是有一定重要性
(4)warning (LOG_WARNING)
警告信息,但不会影响到服务或系统运行
(5)error(LOG_ERR)
错误信息,一般达到err等级的信息已经可以影响到服务成系统的运行。
(6)crit (LOG_CRIT)
临界状态信息,比err等级还要严
(7)alert (LOG_ALERT)
状态信息,比crit等级还要严重,应该立即采取行动
(8)emerg (LOG_EMERG)
疼痛信息,此状态时系统已经无法使用
(9)*
代表所有日志等级
2、服务名称
(1)auth(LOG AUTH)
安全和认证相关消息 (不推荐使用authpriv替代 )
(2)authpriv(LOG_AUTHPRIV)
安全和认证的相关信息
(3)cron (LOG_CRON)
系统定时任务和at产生的日志文件
(4)daemon (LOG_DAEMON)
与各个守护进程相关的曰志
(5)ftp (LOG_FTP)
ftp守护进程产生的日志
(6)kern(LOG_KERN)
内核产生的日志文件
(7)Iocal0-local7 (LOG_LOCAL0-7)
为本地预留的服务
(8)lpr (LOG_LPR)
打印产生的日志
(9)mail (LOG_MAIL)
邮件收发信息
3、rsyslog配置文件
/etc/rsyslog.conf文件为三个模块
MODULES: 相关模块配置
GLOBAL DIRECTIVES:全局配置
RULES:日志记录相关的规则配置
4、服务生成日志文件
[root@localhost ~]# vim /etc/ssh/sshd_config
修改ssh配置文件
32 #SyslogFacility AUTHPRIV
33 SyslogFacility LOCAL6
定义自己的规则
[root@localhost ~]# vim /etc/rsyslog.conf
修改rsyslog配置文件
local6.* /var/log/ssh.log
定义规则
[root@localhost ~]# systemctl restart sshd
刷新远程服务
[root@localhost ~]# systemctl restart rsyslog
刷新rsyslog文件
5、网络日志
在192.168.222.100主机上设置远程服务
[root@localhost ~]# vim /etc/rsyslog.conf
修改配置
$ModLoad imtcp
$InputTCPServerRun 514
19、20行打开tcp模块
[root@localhost ~]# systemctl restart rsyslog.service
刷新服务
在192.168.222.10 主机上设置发送到哪
[root@localhost ~]# vim /etc/rsyslog.conf
修改配置文件
.info;mail.none;authpriv.none;cron.none @@192.168.222.100
在55行处制定规则
[root@localhost ~]# systemctl restart rsyslog.service
刷新服务
[root@localhost ~]# logger "this is test "
进行验证