Linux企业级日志管理

rsyslog查看系统日志

1. rsyslog定义：
   该服务是用来采集系统产生的日志的，自身不产生日志，只是起到采集作用。

vim		/etc/rsyslog.conf

2. rsylog的管理：(/var存的是系统数据)

/var/log/messages	服务信息日志
/var/log/secure	系统登录日志
/var/log/cron	定时任务日志
/var/log/maillog	邮件日志
/var/log/boot.log	系统启动日志

3. 可以指定日志采集的路径
   日志采集的规则为：什么类型的日志.什么级别的日志 ————>/var/log/file
4. 日志的类型：

auth	pam产生的日志（PAM全称是Pluggable Authentication Module for linux（可插入式授权管理模块），被用来管理LINUX系统下应用、服务等的授权，如login,su等）
authpiv	ssh、ftp等登录信息的验证信息
cron	定时任务相关
kern	内核相关
lpr	打印
mail	邮件
mark（syslog）-rsyslog	服务内部的信息，时间标识
news	新闻组
user	用户程序产生的信息
uucp	Unix to unix copy，unix主机之间相关的通讯
local1~7	自定义的日志设备

6. 日志的级别：

debug	有调试信息的，日志信息最多
info	一般信息的日志 ，最常用
notice	最具重要性的普通条件的信息
warning	警告级别
err	错误级别，阻止某个功能或模块不能正常运行的信息
crit	严重级别，阻止整个系统或者软件不能正常工作的信息
alert	需要立即修改的信息
emerg	内核崩溃等严重信息
none	什么都不记录

注意：这个级别表从上到下，级别从低到高，记录的信息越来少。

更详细的信息需要查看手册：

man	3	syslog

实验流程：

• 目的：把系统中所有日志采集到/var/log/fuck文件中
• 操作：

vim		/etc/rsyslog.conf
(日志类型).(日志级别)			/var/log/对应文件夹（默认自动生成）
*.*							/var/log/fuck

修改完成后，别忘了重启服务生效
systemctl	restart 	rsyslog

• 测试：

systemctl 	restart 	sshd
该命令目的是为了产生日志信息
cat	/var/log/fuck		或者监控		tail	-f 	/var/log/fuck
此文件出现日志信息

具体实验：

前言：man 5 rsyslog.conf查看rsyslog.conf文件格式描述，发现

1. 在日志发送方（客户端）：

vim	/etc/rsyslog.conf
*.*     @172.25.254.218     ##"@"表示udp协议发送，“@@”表示tcp协议发送，“:omrelp”表示RELP发送

	修改配置完别忘了：systemctl  restart  rsyslog

2. 在日志接收方（服务器端）

vim   /etc/rsyslog.conf

15行： $ModLoad imudp ————删掉#注释,日志接收模块

16行：$UDPServerRun 514 ————删掉#注释，开启接收端口

别忘了重启服务:systemctl restart rsyslog

3. 在发送方和接收方都关闭火墙

systemctl  stop  firewalld      ##关闭火墙
 
systemctl  disable  firewalld    ##设定火墙开机不启动

systemctl  status  firewalld      ##查看火墙状态

4. 测试是否成功：
   先在客户端设定日志内容及产生的目录，这里设成所有级别日志信息都发送到/var/log/fuck下，

这里发现客户端日志已经成功了，为了检测，我们需要用logger 字符串 产生一条日志测试：（同样可以用空字符重定向的方法清理掉不必要的日志信息）