Linux日志管理配置介绍

日志管理

内核日志
服务日志

日志等级 man 8 syslog
#define KERN_EMERG “<0>” /* system is unusable /
#define KERN_ALERT “<1>” / action must be taken immediately /
#define KERN_CRIT “<2>” / critical conditions /
#define KERN_ERR “<3>” / error conditions /
#define KERN_WARNING “<4>” / warning conditions /
#define KERN_NOTICE “<5>” / normal but significant condition /
#define KERN_INFO “<6>” / informational /
#define KERN_DEBUG “<7>” / debug-level messages */

日志分类

cat /etc/rsyslog.conf  | grep -v ^# | grep -v ^$
*.info;mail.none;authpriv.none;cron.none                /var/log/messages
authpriv.*                                              /var/log/secure
mail.*                                                  -/var/log/maillog
cron.*                                                  /var/log/cron
*.emerg                                                 *
uucp,news.crit                                          /var/log/spooler
local7.*                                                /var/log/boot.log

独立服务自定义日志
httpd ----> /var/log/httpd/*.log

日志管理< 本地分类管理|远程集中制管理>

自定义日志
开启本地debug日志 /var/log/debug

vim /etc/rsyslog.conf 
 62 *.debug                                                 /var/log/debug.log

service rsyslog restart

开启远程日志管理
将192.168.0.1的日志 交给 192.168.0.254 集中制管理

服务端 192.168.0.254

vim /etc/rsyslog.conf 

 17 $ModLoad imtcp
 18 $InputTCPServerRun 514

service rsyslog restart
netstat -tnlp |grep :514

客服端： 192.168.0.1

vim /etc/rsyslog.conf
80 *.* @@192.168.0.254:514

service rsyslog restart
logger -i -t testlog "this is a logtest"

然后再查询日志 tail -f /var/log/message

@@ 表示通过tcp传输日志
@ 表示通过udp传输日志

日志轮循 logrotate
/etc/logrotate.conf 主配置文件
/etc/logrotate.d 子配置文件

① 轮转日志，以避免日志占满包含/var/log/的文件系统；
② 轮转日志时，使用扩展名对其进行重命名，扩展名中指示轮转日期；
③ 轮转原日志之后，分创建新日志文件，并通知对它执行写操作的服务；
④ 轮转若干次之后（通常在4周之后），丢弃原日志文件以节省磁盘空间；
⑤ cron作业每天运行一次logrotate程序，查看是否有任何日志需要轮转；
⑥ 大多数日志每周轮转一次，但是logrotate轮转文件的速度时快时慢，或在文件达到特定大小时进行轮转。

默认系统只保留4份，然后每周轮循一次 —默认保留一个月

执行动作

1.防止日志文件沾满/var/log 目录
2.以daily|weekly|monthly单位，进行轮循 保留多少份rotate N <时间戳>
3.将当前的日志轮循，移动以时间点改名messages-20141010
4.创建一个新的日志文件messages
5.通知程序执行新的写的动作(将新的日志信息写人新的文件中)