系统日志管理

########系统日志管理########
1.rsyslog ##此服务是用来采集系统日志的，他不产生日志，只是起到采集作用
vim …
2.rsyslog的管理
/var/log/messages ##服务信息日志

/var/log/cesure ##系统登陆日志

3.日志的远程同步

在日志发送方：
vim /etc/rsyslog.conf
. @172.25.254.231 ##’@'表示udp协议发送，‘@@’表示tcp协议发送

systemctl restart rsyslog

在日志接受方：
vim /etc/rsyslog.conf
15 $ModLoad imudp ##日志接收模块 删除# 15 16 行
16 UDPServeRun 514 ##开启接收端口 删除#
如图:
将15，16行注释掉

systemctl restart rsyslog
systemctl stop firewalld ##关闭火墙
systemctl disable firewalld ##设定火墙开机关闭

测试：
在发送方和接收方都清空日志文件

/var/log/messages ##查看日志已经生成
logger test message *##日志发送方

tail -f /var/log/message ##日志接收方
在日志接收方查看
cat /var/log/messages
出现如下所示：
代表远程同步成功

####日志采集格式的设定####
vim /etc/rsyslog.conf

添加

$template LOGFMT,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg&/n"

%timegenerated% ##显示日志时间
%FROMHOST-IP% ##显示主机ip
%syslogtag% ##日志记录目标
%msg% ##日志内容
\n ##换行

. /var/log/westos;LOGFMT

cat /var/log/westos

######时间同步服务######
服务名称
chronyd

在服务端
vim /etc/chrony.conf

22 allow 172.25.254.0/24
29 local stratum 10 将这两行注释去掉
systemctl stop firewalld 关闭防火墙
如图：

systemctl restart chronyd
timedatectl set-timezone Asia/Shanghai

在客户端:
vim /etc/chrony.conf
添加server 172.25.254.231 iburst ##本机立即同步到231主机的时间

systemctl restart chronyd
timedatectl set-timezone Asia/Shanghai

#测试：
chronyc sources -v (在客户端）
如果成功，会出现此图.

#########timedatectl命令#####
timedatectl ##管理系统时间
timedatectl status ##显示当前时间信息
set-time ##设定当前时间

list-timezones ##查看支持的所有时区

#####journal######

1.journalctl ##日志查看工具
-n 3 ##查看最近三条日志
-p err ##查看错误日志

显示错误的日志
-o verbose ##查看日志的详细参数
–since ##查看从什么时间开始的日志
–until ##查看到什么时间为止的日志

图解:显示从8点18 到9点20的所有日志。

2.如何使用systemd-journald保存系统日志
默认systemd-journald是不保存系统日志到硬盘的
那么关机后再次开机只能看到本次开机之后的日志
上一次关机之前的日志是无法查看的

mkdir /var/log/journal
chgrp systemd-journal /var/log/journal
chmod g+s /var/log/journal
killall -l systemd-journald

ls /var/log/journal