系统日志管理

一.rsyslog

      此服务是用来采集系统日志的，它不产生日志，只起到采集作用。

1.查看rsyslog服务的状态：

命令	systemctl status rsyslog.service

示例：

2.基本操作：

> /var/log/messages	清空
cat /var/log/messages	查看
systemctl restart sshd.service	重新开启
systemctl stop rsyslog.service	停止服务

注意：

     此服务是用来采集系统日志信息的，当关闭采集服务时，日志内将不会接受任何信息，只有开启采集服务时，才会接受消息，所以解决方法为：

>     /etc/rc.d/rc.local

reboot

 二.rsyslog 的管理

1.日志的说明：

/var/log/messages	服务信息日志
/var/log/secure	系统登陆日志
/var/log/cron	定时任务日志
/var/log/maillog	邮件日志
var/log/boot.log	系统启动日志

2.指定日志采集路径：
                 什么类型的日志.什么级别的日志

1）日志的类型：

auth	pam产生的日志
authpriv	ssh、ftp等登陆信息的验证信息
cron	时间任务相关
kern	内核
mail	邮件
mark（syslog)-rsyslog	服务内部的信息，时间标识
news	新闻组
user	用户程序产生的相关信息
uucp	unix to unix copy unix主机之间相关的通讯
local 1～7	自定义的日志设备

2）日志的级别：

debug	有调试信息的，日志信息最多
info	一般信息的日志，最常用
notice	最具有重要性的普通条件的信息
warning	警告级别
err	错误级别，阻止某个功能或者模块不能正常工作的信息
crit	严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert	需要立即修改的信息
emerg	内核崩溃等严重信息
none	什么都不记录

注意 ：从上到下，级别从低到高，记录的信息越来越少

重点 ：

          操作过程：
                   目的：把系统中所有日志采集到/var/log/westos文件中
                   第一步，操作：

vim /etc/rsyslog.conf     进入/etc/rsyslog.conf文件配置中，并使配置立即生效

* . * /var/log/westos       在配置中新增所有类型级别的日志以及其被采集的路径

systemctl restart rsyslog      重启rsyslog服务

                   第二步，测试：

systemctl restart sshd	生成日志
cat /var/log/westos	查看日志信息

示例：

 三.日志的远程同步:

1.步骤：

1）在日志的发送方：

vim /etc/rsyslog.conf                   进入日志配置

* . * @172.25.254.200                “@”表示udp协议发送，“@@”表示tcp协议发送

systemctl restart rsyslog            使rsyslog服务立即生效

2）在日志的接受方：

vim /etc/rsyslog.conf                  进入日志配置

15 $ModLoad imudp                  日志接收模块

16 $UDPServerRun 514            开启接收端口（将15-16行前的注释取消掉）

systemctl restart rsyslog            使rsyslog服务立即生效

systemctl stop firewalld              关闭火墙

systemctl disable firewalled        设定火墙开机关闭

3）测试：

在发送方和接收方都清空日志文件	> /var/log/messages
在日志的发送方	logger tes

示例：