分析 linux /var/log/messages,2009-11-30 15:30 Linux系统日志/var/log/messages （转）

日志文件其实是纯文本的文件，每一行就是一个消息。只要是在Linux下能够处理纯文本的工具都能用来查看日志文件。日志文件总是很大的，因为从你第一次启动Linux开始，消息就都累积在日志文件中。看日志文件的一个比较好的方法是用像More或Less那样的分页显示程序，或者用Grep查找特定的消息。我们先用Less显示“/var/log/messages”，可以看到从日志文件中取出来的一些消息。每一行表示一个消息，而且都由四个域的固定格式组成：

*时间标签(Timestamp)，表示消息发出的日期和时间。

*主机名(Hostname)，表示生成消息的计算机的名字。如果只有一台计算机，主机名就可能没有必要了。但是，如果在网络环境中使用Syslog，那么就可能要把不同主机的消息发送到一台上集中处理。在我们的例子中主机名为lcbj。

*生成消息的子系统的名字。可以是“Kernel”，表示消息来自内核或者是进程的名字，表示发出消息的程序的名字。在方括号里的是进程的PID。

*消息(Message)，即消息的内容。

资料：

http://hi.baidu.com/sauce1210/item/c9bec5351a703df42684f458

http://linux.vbird.org/linux_basic/0570syslog/0570syslog.php

http://bbs.chinaunix.net/thread-2171708-1-1.html