linux学习9：系统中的日志管理

---

1. 日志是什么

电脑中的日志相当于我们平时写的日志，日志里面记录的是服务器的状态

1.1rsyslog日志管理

此服务用来采集系统中的日志，它不产生日志，只是起到采集的作用

/var/log/messages	服务信息日志
/var/log/secure	系统登录日志
/var/log/cron	定时任务日志
/var/log/maillig	邮件日志
/var/log/boot.log	系统启动日志

1.2指定日志采集路径

日志采集规则

• 指定日志采集路径

什么类型的日志.什么级别的日志 /var/log/file

日志类型如下：

auth	pam产生的日志
authpriv	ssh，ftp等登陆信息的验证信息
cron	时间任务相关
kern	内核
mail	邮件
mark（syslog）-rsyslog	服务内部的信息，时间标识
news	news
user	用户程序产生的相关信息
uucp	unix to unix copy，unix主机之间相关的通讯

日志级别分为：

debug	有调制信息的，日志信息最多
info	一般信息的日志，最常用
notice	最具有重要性的普通条件的信息
warning	警告级别
err	错误级别，组织某个功能或者模块不能正常工作的信息
crit	严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert	需要立即修改的信息
emerg	内核崩溃等严重信息
none	什么都不记录

注意：从上到下，级别从低到高，记录的信息越来越少，详细可以查看man 3 syslog

---

2. 搭建实验环境

• 先在真机里面开启两台虚拟机，并且配置好网络（一台为Desktop主机，另外一台为server主机）
• 将Desktop主机当作日志发送方，将server主机当作日志接收方(管理日志)

Desktop主机的ip地址为172.25.60.252;server主机的ip地址为172.25.60.251

---

3. 日志的定向采集

• 实验在Desktop上做
• 打开设定日志采集规则的文件 vim /etc/rsyslog.conf
  
• 在日志采集文件里面设置将任意类型、任何级别的日志都存放在/var/log/westos下；如果westos文件不存在，会自动生成该文件 命令格式为*.* /var/log/westos
  
• 修改后，重启系统日志
  
• 测试

生成日志 systemctl restart sshd;查看日志 cat /var/log/westos

• 由此可见，将任意类型、任何级别的日志定向采集到了/var/log/westos之中

总结：实际在企业当中，我们要将日志分类管理，可以参考第三项系统日志管理里面的类型和级别，将 *.*改为日志类型.日志级别，然后存放在指定的文件当中即可。

---

4. 日志的远程同步

在日志发送方设置：

• 在发送方Desktop主机中先 vim /etc/rsyslog.conf；在/etc/rsyslog.conf这个文件中写入 . @172.25.60.251(接受方的ip)
• @'表示udp协议发送，‘@@’表示用tcp发送
  
  
• 退出文件， ，重启日志系统 systemctl restart rsyslog

在日志接收方设置：

• 在接收方server主机中先 vim /etc/rsyslog.conf
  
• 将/etc/rsyslog.conf 这个文件中的15行和16行的注释去掉

15 $ModLoad imudp 日志接受模块
16 $UDPServerRun 514 开启接收端口514

• 重启系统：systemctl restart rsyslog;关闭防火墙：systemctl stop firewalld;开机不启动防火墙systemctl disable firewalld
  
  测试
• 清空发送方和接收方日志文件
• 在日志发送方 的shell当中输入 ：

logger test ###产生日志
cat /var/log/messages ###查看日志已经生成

• 在日志接受方查看远程主机发送过来的同步日志:

在server主机的shell当中输入： cat /var/log/messages

可见两台主机实现远程同步了
但是server主机接收的日志不止是刚刚新建的日志，而是还有很多 /etc/rc.d/rc.local文件产生的日志

4. 1清除多余文件

在日志发送方设置：

• 在发送方主机中清空这个文件 ，命令格式为： > /etc/rc.d/rc.local
• 重启这台主机
  
  在日志接收方设置：
• 在接收方主机中清空这个文件 ，命令格式为： > /etc/rc.d/rc.local
• 重启这台主机
• 重启系统：systemctl restart rsyslog
• 关闭防火墙：systemctl stop firewalld
• 开机关闭火墙：systemctl disable firewalld

测试

• 清空发送方和接收方日志文件 > /var/log/messages
• 日志发送方:重新建立日志，并且查看:
  
• 在日志接收方查看远程同步的日志
  

注意：

• 我所做的实验是一台发送方，一台接收方，实际企业中有很多服务器，管理的原理和方法和这个类似
• 也可以监控远程同步（日志的传送过程）的过程，命令为： watch -n 1 tail -f /var/log/messages
• 用该命令在接收方可以查看接口配置是否正确 netstat -antlupe | grep rsyslog
  

---

5. .日志采集格式的设定

• 在接受日志方（server服务端）进行日志采集格式的设置

先 vim  /etc/rsyslog.conf
然后在rules（规则下）设置日志采集规则
$template WESTOS(任意写)，“%timegenerated%  %FROMHOST-IP%  %syslogtag%  %msg%\n”

显示日志的生成时间	%timegenerated%
显示发送方主机的ip	%FROMHOST-IP%
日志记录目标	%syslogtag%
日志内容	%msg%
换行	\n

• 在下面写 . /var/log/westos；WESTOS #在指定的日志中采用WESTOS格式
  
• 设置好之后重启服务systemctl restart rsyslog
  

---

6. 时间同步服务

如果日志发送方和接收方的时间不一致很麻烦
让时间保持一致，也就是客户端同步服务端，服务端共享系统时间，让别人读
服务端和客户端都是自己的时间 ，设置自身时间用date命令

• 服务名称：chronyd

在服务端：

• 在服务端： vim /etc/chrony.conf

22行： allow 172.25.254.0/24  允许那些客户端来同步本机时间
29行： local stratum 10 本机不同步任何主机的时间，本机作为时间源
systemctl restart chronyd

在客户端：

• 在客户端：vim /etc/chrony.conf

server 172.25.60.251（服务端的ip） iburst(删除其他的)  本机立即同步251主机的时间
systemctl restart chronyd

测试：

• 在客户端输入：chronyc sources -v
• 出现* ip 就说明好了
• 说明：之所以相差几秒钟是因为输入date命令延迟了几秒
  
  

---

7. 设置系统时间

• 采用 timedatectl 命令
• 说明：装了双系统以后，linux把bios时间改了，所以windows时间不对，可以设置

timedatectl	管理系统时间
timedatectl status(可加可不加)	显示当前时间信息
timedatectl set-time	设定当前时间
timedatectl set-timezone	设定当前时区
timedatectl set-local-rtc 0或1	设定是否使用utc时间 vim /etc/adjtime
timedatectl list-timezones	查看支持的所有时区

timedatectl 管理系统时间

Local time	本地时间
Universal time	国际时间
RTC time	硬件时间
Timezone	时区

timedatectl status(可加可不加) 显示当前时间信息

timedatectl set-time 设定当前时间

timedatectl set-timezone “Asia/Shanghai" 更改当前时区为东8区

timedatectl set-local-rtc 0|1 设定是否使用utc时间 vim /etc/adjtime

timedatectl list-timezones 查看支持的所有时区

---

8. 新的日志采集方式journal

rsyslog采集日志，从硬盘读取，速度慢

journal 不采集日志，直接从内存查看日志 ，速度更快，reboot 重启系统之后系统之前的日志会被清除

8.1 journalctl 日志查看工具

journalctl -n 3	查看最近3条日志
journalctl -p err	查看错误日志
journalctl -o verbose	查看日志的详细参数
journalctl --since	查看从什么时间开始的日志
journalctl --until	查看到什么时间为止的日志

• journalctl -n 3 查看最近3条日志
  
• journalctl -p err 查看错误日志
  
• journalctl -o verbose 查看日志的详细参数
  
• journalctl --since “2019-10-30 11:54:41” 查看从什么时间开始的日志
  
• journalctl --until “2019-4-17 12:45:53” 查看到什么时间为止的日志
  
• journalctl --since --until 查看一个时间段的日志
  

8.2 在硬盘创建一个区域，专门存放journal采集的日志

• 只有这样才会让journalctl采集日志（之前只能查看日志）

如何使用systemd-journal保存系统日志
默认systemd-journal是不会保存系统日志到硬盘的
那么关机之后再次开机时只能看到本次开机之后的日志
关机之前的日志是无法看到的
此实验在一台虚拟机里面做，我在server主机里面做

• mkdir /var/log/journal(在硬盘下创建一个可以存储 journalctl命令采集的日志 的文件)
  
• chgrp systemd-journal /var/log/journal/

系统初始化程序控制这个日志，改这个文件的所有组为systemd-journal
这样系统就能识别这个文件了，把这个文件放入这个组，让组控制这个文件

• chmod g+s /var/log/journal/

改这个文件的权限，使这个文件的systemd-journal组都能查看这个日志

• ls -ld /var/log/journal/ 查看文件属性
  
• ps aux | grep journal 查看进程
  
• killall -1 /usr/lib/systemd/systemd-journald（进程重新加载配置，不会关闭进程）
  
• date 查看系统当前时间
  
• ls /var/log/journal/
  
• bootctl 重启
• journalctl（可以看到之前的日志了 就是可以采集日志）
  

可以看到采用journalctl查看日志能看到当前系统时间之前的日志了
date（查看系统当前时间）
reboot（重启系统 相当于关机）
journalctl（再次查看仍然能看到系统当前时间之前的日志了）
因为采集的日志放到了硬盘里面
只有这样使用journalctl查看日志的时候，才会看到系统开机之前的日志
只有硬盘的东西才可以永久保存
内存里面的东西都是开机之后才有的