##1.rsyslog 此服务是用来采集和分类系统日志的,
它不产生日志,只是起到采集的做用##
##2.日志管理服务rsyslog##
##系统日志默认分类##
/var/log/messages ##系统服务及日志,包括服务的信息,报错等等
/var/log/secure ##系统登录日志(系统认证信息日志)
/var/log/cron ##系统定时任务日志
/var/log//maillog ##系统邮件日志
/var/log//boot.log ##系统启动日志
##日志类型##
vim /etc/rsyslog.conf ##主配置文件
*.* 什么类型的日志.什么级别的日志 日志处理方式(action)
systemctl restart rsyslog
##日志设备(能够理解为日志类型)##
auth ##pam产生的日志
authpriv ##ssh,ftp等登陆信息的验证信息
cron ##时间任务相关
kern ##内核
lpr ##打印
mail ##邮件
mark(syslog)–rsyslog ##服务内部的信息,时间标识
news ##新闻组
user ##用户程序产生的相关信息
uucp ##unix to unix copy, unix主机之间相关的通信
local 1~7 ##自定义的日志设备
##日志级别##
debug ##有调式信息的,日志信息最多
info ##通常信息的日志,最经常使用
notice ##最具备重要性的普通条件的信息
warning ##警告级别
err ##错误级别,阻止某个功能或者模块不能正常工做的信息
crit ##严重级别,阻止整个系统或者整个软件不能正常工做的信息
alert ##须要马上修改的信息
emerg ##内核崩溃等严重信息
none ##什么都不记录
##注意:从上到下,级别从低到高,记录的信息愈来愈少
##详细的能够查看手册: man 3 syslog
##链接符号##
.xxx: 表示大于等于xxx级别的信息
.=xxx:表示等于xxx级别的信息
.!xxx:表示在xxx以外的等级的信息
##3.日志的远程同步##
在日志发送方:
vim /etc/rsyslog.conf
*.* @172.25.254.200 @符号表示udp协议发送 两个@是tcp协议
systemctl restart rsyslog
在日志接受方
vim /etc/rsyslog.conf
15 $ ModLoad imudp #日志接受模块(去掉#)
16 $ UDPServerRun 514 #开启接受端口
systemctl restart rsyslog
systemctl stop firewalld #关闭火墙
systemctl disable firewalld #设定火墙开机关闭
测试:
在两方都清空messages
> /var/log/messages
##在日志发送方##
logger test
cat /var/log/messages
在日志接受方
cat /var/log/messages
##日志采集格式的设定
vim /etc/rsyslog.conf
加入$template LOGFMT, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"
加入*.* /var/log/westos;LOGFMT
%timegenerated% ##显示日志时间
%FROMHOST-IP% ##显示主机ip
%syslogtag% ##日志记录目标
%msg% ##日志内容
\n ##换行
cat /var/log/westos
##4.时间同步服务##
服务名称 chronyd
在服务端
vim /etc/chrony.conf ##主配置文件
22 改成allow 172.25.254.0/24 容许哪些客户端来同步本机的时间
29 local stratum 10 本机不一样步任何主机的时间,本机做为时间源
systemctl restart chronyd
timedatectl set-timezone Asia/Shanghai 更改当前时区为东8区
在客户端
vim /etc/chrony.conf
3 server 0.rhel.pool.ntp.org iburst
4 server 1.rhel.pool.ntp.org iburst====> server ntpserverip iburst
本机当即同步225主机的时间
systemctl restart chronyd
timedatectl set-timezone Asia/Shanghai 更改当前时区为东8区
测试:
客户端
chronyc sources -v
测试:
[root@localhost ~]# chronyc sources -v
##5.timedatectl命令##
timedatectl status ##显示当前时间信息
set-time ##设定当前时间
set-timezone ##设定当前时区
set-local-rtc 0|1 ##设定是否使用utc时间
##6.journalctl#
1.journalctl ##日志查看工具(不能查看关机以前的时间)
-n 3 查看最近三条
-p err 查看错误日志
-o verbose 查看日志的详细参数
--since 查看从什么时间开始的日志
--until 查看从何时结束的日志
2.如何使用systemd-journald保存系统日志
默认 systemd-journald是不保存系统日志到硬盘的
那么关机后再次开机只能开到本次开机以后的日志,以前关机前的是没有的
mkdir /var/log/journal
chgrp systemd-journal /var/log/journal
chmod g+s /var/log/journal
killall -1 systemd-journald
ls /var/log/journal
...