linux系统日志管理

####系统日志管理####
1.rsyslog       ##此服务是用来采集系统日志的，他不产生日志，只起到临时采集作用

 

####1.系统日志默认分类####

/var/log/messages       ##系统服务及日志，包括服务的信息，报错等等

/var/log/secure         ##系统认证信息日志

/var/log/maillog        ##系统邮件服务信息

/var/log/cron           ##系统定时任务信息    

 
/var/log/boot.log       ##系统启动信息

指定日志采集路径

什么类型的日志。什么级别的日志    /var/log/file        ##日志采集规则

##日志类型分为：
auth            ##pam产生的日志
authpriv        ##ssh，ftp等登陆信息的验证信息
cron            ##时间人物相关
kern            ##内核
lpr            ##打印
mail            ##邮件
mark(syslog)-rsyslog    ##服务内部的信息
news            ##新闻组
user            ##用户程序产生的日志
uucp            ##unix to until
local1～7        ##自定义的日志

####2.日志管理服务rsyslog####

1.rsyslog负责采集日志和分类存放日志
2.rsyslog日志分类
vim /etc/rsyslog.conf   ##主配置文件

服务.日志级别           /存放文件
*.*                     /var/log/westos
*.*；authpriv.none      /var/log/westos

####3.日志的远程同步####

在日志发送方：
vim /etc/rsyslog.conf
*.*    @172.25.254.240        ##"@"表示udp协议发送“@@”表示tcp协议发送

systemctl restart rsyslog.service

在日志接受方：
vim /etc/rsyslog.conf
15 $Modload imudp        ##日志接收模块
16 $UDPServerrun 512        ##开启接收端口

systemctl restart rsyslog.serice
systemctl stop    firewalld    ##关闭火墙
systemctl disable firewalld    ##设定火墙开机关闭

测试：
在发送方和接收方都清空日志文件
> /var/log/messages

logger test

 

##日志采集格式的设定##
vim /etc/rsyslog.conf

$template LOGFMT, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"
%timegenerated%        ##显示日志时间
%FROMHOST-IP%        ##显示主机ip
%syslogtag%        ##日志记录目标
%msg%            ##日志内容
\n            ##换行

*.*            /var/log/westos;LOGFMT

cat  /var/log/westos

 

####时间同步服务####

服务名称
chronyd

在服务器端：
vim /etc/chrony.conf
22  allow 172.25.254.0/24    ##允许哪些客户端来同步本机时间
29  local strarum 10        ##本机不同步任何主机的时进，本机作为时间源

system restart chronyd
timedatectl set-timezone Asia/Shanghai        ##更改当前时区为东8区

在客户端：
vim /etc/chrony.conf
server 172.25.254.240 iburst    ##本机立即同步240主机的时间

system restart chronyd
timedatectl set-timezone Asia/Shanghai        ##更改当前时区为东8区

测试：
在客户端  chronyc sources -v

####timedatectl命令####
timedatectl        ##管理系统时间
timedatectl        status        ##显示当前时间信息
            set-time    ##设定当前时间
            set-timezone    ##设定当前时区
            set-local-rtc 0|1    ##设定是否使用utc时间
            list-timezone    ##查看支持的所有时区

####jorunalctl命令####

1.journalctl        ##日志查看工具
    -n 3        ##查看最近三条日志

    -p err        ##查看错误日志

    -o verbose    ##查看日志的详细参数

    --since        ##查看从什么时间开始的日志
    --until        ##查看到什么时间为止的日志

2.如何使用system-journald保存系统日志
默认system-journald是不保存系统日志到硬盘的
那么关机后再次开机只能看到本次开机之后的日志
上一次关机之前的日志时无法查看的

mkdir /var/log/journal/
chgrp systemd-journal /var/log/journal
chmod g+s /var/log/journal
killall -1 systemd-journald

ls /var/log/journal                                   ##关机后重启查看时只能查看在重启systemd-journald服务后的日志文件