系统日志管理、时间同步服务

系统日志的管理

Linux系统拥有非常灵活和强大的日志功能，可以保存几乎所有的操作记录，并可以从中检索出我们需要的信息。
1.rsyslog 　　　##此服务时用来采集系统日志的，它不产生日志，只是起到采集的作用

2.rsyslog的管理
/var/log/messages　　　##服务信息日志
/var/log/secure　　　　　##系统登陆日志
/var/log/cron　　　　　　##定时任务日志
/var/log/maillog　　　 　##邮件日志
/var/log/boot.log　　　　##系统启动日志

指定日志采集路径

日志类型分为：
auth 　　　　　　　 ##pam产生的日志
authpriv　　　　　　##ssh，ftp等登陆信息的验证信息
cron 　　　　　　 　 ##时间任务相关
kern　　　　　 　 　##内核
lpr　　　　　　　　 ##打印
mail　　　　　　　 ##邮件
mark(syslog)-rsyslog ##服务内部的信息，时间标识
news 　　　　　　　 ##新闻组
user　　　　　　　　##用户程序产生的相关信息
uucp　　　　　　　 ##unix to unix copy，unix主机之间相关的通讯
local 1～7 　　　　　##自定义的日志设备

日志级别分为：

debug　　　　##有调试信息的，日志信息最多
info　　　　　 ##一般信息的日志，最常用
notice 　　　　 ##最具有重要信息的普通条件的信息
warning　　　 ##警告级别
err　　　　　　##错误级别，阻止某个功能或者模块不能正常工作的信息
crit　　　　　　##严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert　　　　　 ##需要立刻修改的信息
emerg　　　　　##内核奔溃等严重的信息
none　　　　　 ##什么都不记录
##注意：从上到下，级别从低到高，记录的信息越来越少（none除外）
##详细的可以查看手册：man 3 syslog

3.日志的远程同步

准备工作：
（1）打开两个虚拟机（desktop和server）并更改他们的ip（可用nm-connection-eidtor #图形设定ip）
（2）更改两个虚拟机的名称（hostnamectl set-hostname linux1.example.com #将虚拟机的名字改为linux1）
（3）在真机中打开两个shell，用ssh命令分别连接两个虚拟机(注：ctrl+shift+t #再打开一个shell)

实验环境：
linux1（desktop）： 发送端 172.25.254.27
linux2（sesrver）： 接受端 172.25.254.127

在日志发送方：

vim /etc/rsyslog.conf
. @172.25.254.127
##"@"表示udp协议发送，“@@”表示tcp协议发送

systemctl restart rsyslog.service ##重启服务

在日志接收方：

vim /etc/rsyslog.conf
15 $ModLoad imudp ##日志接收模块
16 UDPServerRun 514 ##开启接收端口
将15和16行#去掉

systemctl restart rsyslog .service 重启服务
systemctl stop firewalld ##关闭火墙
systemctl disable firewalld ##设定火墙开机关闭

测试：
在日志的发送方

> /var/log/messages         ##先清空日志
logger test                       ##新建日志 
cat /var/log/messages      ##查看日志已经生成

在日志接受方查看

 > /var/log/messages      ##同样也先清空
cat /var/log/messages

测试

tail -f /var/log/message ##日志接收方

注意：

做实验的时候我们会发现有很多次其他日志的生成，不方便实验的查看
所以我们可以进行以下操作将相关文件清除掉：

> /etc/rc.d/rc.local        ##清空相关文件
reboot                      ##重启内核
ssh root@172.25.254.127     ##重新连接主机
> /var/log/messages         ##清空文件
logger test                 ##新建日志
cat /var/log/messages       ##查看

如下图：

日志采集格式

(1)采集日志格式的设定：vim　 /etc/rsyslog.conf

$template WESTOS,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"
%timegenerated% ---->显示日志时间
%FROMHOST-IP% ---->显示主机IP
%syslogtag% ---->日志记录目标
%msg% ---->日志内容
\n ---->换行
WESTOS---->表示用此格式显示
*.info;mail.none;authpriv.none;cron.none /var/log/westos;WESTOS

systemctl restart rsyslog.service ##设置好重启服务

测试：
cat /var/log.wessages
###按自己设置的格式显示

日志分析

systemd-journald服务:
提供一种改进的日志管理服务，可以手机来自内核/启动服务，标准输出，系统日志及守护进程启动和运行期间错误的消息，它将这些消息写入到一个结构化事件日志中

1.journalctl ##日志查看工具

### q退出
journalctl -n 3 ##查看最近3条日志

journalctl -p err ##查看错误日志

journalctl -o verbose ##查看日志的详细参数

journalctl --since ##查看从什么时间开始的日志
–until ##查看到什么时间为止的日志、

journalctl --since 04:10 ##查看04:30开始的日志

journalctl --since 04:10 --until 04:15##查看04:10到04:15的日志

journalctl 　 -f 　 ##监控日志(ctrl+c退出)

systemctl status sshd#查看服务状态（PID=1245）

journalctl 　_PID=1245　 _COMM=sshd ##用PID和名字查询日志

2.如何使用systemd-journald保存系统日志

（1）默认systemd-journald是不保存系统日志到硬盘的，那么关机后再次开机只能看到本次开机后的日志，上一次关机之前的日志是无法查看的
（2）如果将日志保存在/var/log/journal目录，这样做的优点是启动后就可以利用历史数据，形成永久日志

mkdir /var/log/journal ##新建目录
chgrp systemd-journal /var/log/journal ##修改目录所有组
chmod g+s /var/log/journal##给所有组添加s权限
ps aux |grep systemd-journald ## 生成的进程都属于该组
killall -1 num ---- num为进程号，-1信号为重新启动
cd /var/log/journal
ls
bootctl
ll 主机号
reboot ## 重启
journalctl ##已经采集到的日志会保存，journalctl命令会自动搜寻到该日志并显示

时间同步服务

服务名称
chronyd是一个后台运行的守护进程，用于调整内核中运行的系统时钟与时钟服务器同步
实验环境：
linux1（desktop）： 发送端 172.25.254.27
linux2（sesrver）： 接受端 172.25.254.127
在发送端：
1.vim /etc/chrony.conf
22 allow 172.25.254/24 ##允许那些客户端来同步本机时间
29 local stratum 10 ##本机不同步任何主机的时间，本机作为时间源(允许同步)

2.systemctl restart chrony ##重启服务

3.关闭火墙systemctl stop firewalld

timedatectl set——timezone Asia/Shanghai ##设置时区
在客户端：
vim /etc/chrony.conf
server 172.25.254.xxx iburst ##本机立即同步xxx主机的时间

systemctl restart chronyd ##重启服务

timedatectl set——timezone Asia/Shanghai ##设置时区
测试：
#在客户端
输入chronyc sources -v

最后出现“^* 172.25.254.27 ”成功
###5.timedatectl命令###
timedatectl status ##显示当前时间信息

timedatectl list-timezones ##查看支持的所有时区

timedatectl set-time “2018-11-11 11:11:11” ##设定当前时间

timedatectl set-timezone Asia/Shanghai ##设定当前时区

timedatectl set-local-rtc 0 ##设定是否使用utc时间

timedatectl set-local-rtc 1 ##RTC=local