linux系统日志和journald,Linux系统日志管理（systemd-journald，rsyslog，timedatectl，时间同步）...

一.实验环境

主机1：localcast.localdomain         172.25.254.10

主机2：westcp.localdomain            172.25.254.20

systemctl stop firewalld

systemd-journald查看       rsyslog   采集

二.systemd-journald(查看日志)

服务名称:systemctl-journal.service

journalctl

默认日志存放路径：/run/log

journalctl命令的用法

journalctl

-n 3            日志的最新三条

--since "2020-05-01 11:00:00"    显示11:00以后的日志

--until "2020-02-13 11:05:00"    显示日志到11:05

--o             设置日志的显示方式

short    经典模式显示日志

verbose  显示日志的全部字节

export   适合传出和备份的二进制格式

json     js格式显示输出

-p                       显示制定级别的日志

0      emerg    系统的严重问题日志

1       alert    系统中立即要更改的信息

2      crit     严重级别会导致系统软件不能工作

3      err      程序报错

4      warning  程序警告

5      notice   重要信息的普通日志

6      info     普通信息

7      debug    程序排错信息

-F      PRIORITY         查看可控日志级别

-u      sshd                     指定查看服务

--disk-usage                   查看日志大小

--vacuum-size=1G         设定日志存放大小(1G)

--vacuum-time=1W         日志在系统中最长存放时间

-f                                     监控日志

journalctl 特定条目      查看指定条目的日志

直接更改日志大小：编辑文件/etc/systemd/journald.conf

vim /etc/systemd/journald.conf

systemctl restart systemd-journald.service

保存日志

mkdir /var/log/journal

chgrp systemd.journal /var/log/journal

chmod 2775         /var/log/journal

systemctl restart systemd-journald.service

当服务重启日志存放路径会被指定到：/var/log/journal

三.rsyslog(日志采集)

服务名称:rsyslog.service

日志存放：

/var/log/messages     系统服务日志，常规信息，服务报错

/var/log/secure       系统认证信息日志

/var/log/maillog      系统邮件日志信息

/var/log/cron         系统定时任务日志

/var/log/boot.log     系统启动日志信息

配置文件：/etc/rsyslog.conf

实验一  更改日志采集路径

日志类型.日志级别      日志存放路径

*.*                    /var/log/westos      把系统中所有级别的日志存放到westos中

*.*;authpriv.none      /var/log/westos      把系统中所有级别的日志存放到westos中，但是authpriv不存放到westos中

在另一台主机登入，未显示日志信息

日志类型

auth        用户认证

authpriv    服务认证

cron        时间任务

kern        内核类型

mail        邮件

news        系统更新信息

user        用户

日志级别

emerg    系统的严重问题日志

alert    系统中立即要更改的信息

crit     严重级别会导致系统软件不能工作

err      程序报错

warning  程序警告

notice   重要信息的普通日志

info     普通信息

debug    程序排错信息

none     不采集

实验二 如何更改日志采集格式

1.定义日志采集格式

$template WESTOS_FORMAT, "%FROMHOST-IP% %timegenerated% %syslogtag% %msg%\n"

%WESTOS_FORMAT%    样式名称

%FROMHOST-IP%      日志来源主机ip

%timegenerated%    日志生成时间

%syslogtag%        日志生成服务

%msg%            日志内容

\n               换行

2.设定日志采集格式应用

*.*;authpriv.none             /var/log/westos;WESTOS_FORMAT      设定westos文件为WESTOS_FORMAT格式

实验三 日志的远程同步

关闭防火墙

编辑配置文件 vim /etc/rsyslog.conf 19,20行

1.接收日志：

19：module(load=“imudp”)        打开日志接收插件

20：input(type="imudp" port="514")  指定插件使用接口

systemctl restart rsyslog

查询端口：

netstat -antlupe | grep rsyslog

2.另一台主机设定发送日志

vim /etc/rsyslog.conf

*.*                @172.25.254.20

systemctl restart rsyslog

@         表示使用udp传输日志

@@        表示使用tcp传输日志

@172.25.254.20     把本机日志用udp的传输方式发送到172.25.254.20主机

在两台主机中测试

> /var/log/messages      清空日志

172.25.254.10主机中输入logger  test message

可以看到在另一台主机中生成的日志

四.timedatectl

timedatectl set-time              设定系统时间

timedatectl list-timezones         显示系统的所有时区

timedatectl set-timezone          设定系统时区

timedatectl set-local-rtc 0|1     设定系统时间计算方式

0表示使用utc时间计算方式

五.时间同步

/etc/chrony.conf

谁共享谁打开

打开23 allow 172.25.254.0/24

26行 local stratum 10

重启服务

时间接收方修改该文件

pool 172.25.254.10 iburst

重启服务

证明时间同步在被同步方chroync sources -v