企业级日志管理及优化方式

1.实验环境

两台虚拟机
rhel 7_node1 ip：192.168.43.24
rhel 8_node1 ip: 192.168.43.25
首先在rhel 7中输入命令ssh root@192.168.43.25将rhel8显示在rhel7中

2.journal

服务名称：systemd-journald.service
程序名称：journalctl
默认日志存放路径: /run/log
这个路径是每次重启系统会清空，所以这个命令只能查看当前日志
实验一：journalctl命令用法

journal	日志分析命令
journalctl -n 3	查看最近生成的3条日志
journalct --since --until	查看某个时间段生成的日志
journalctl -o	设定日志的显示方式
journalctl -p	显示指定级别的日志
journalctl -F PRIORITY	查看可控日志级别
journalctl -u sshd	查看指定服务
-disk -usage	查看日志大小
-vacuum-size=1G	设定日志存放大小(临时)
-vacuum-time=1w	日志在系统中最长存放时间(临时)
journalctl -f	表示对日志进行监控

1.journalctl直接查看日志
journalctl -n 3 查看最近生成的三条日志
这个程序是自动开启的无法关闭
2.journalctl --since XXX查看从某个时间之后的日志信息

3.journalct --since XXX --until XXX 查看某个时间段生成的日志

4.journalct -o设定日志的显示方式
short -->经典模式显示日志（默认显示方式）

verbosh 显示日志的全部字节

export 适合传出和备份的二进制格式

json js格式显示输出

5.-p 显示指定级别的日志

#0	emerg	系统的严重问题日志
#1	alert	系统中立即要更改的信息
#2	crit	严重级别会导致系统软件不能正常工作
#3	err	系统报错
#4	warning	程序警告
#5	notice	重要信息的普通日志
#6	info	普通信息
#7	debug	程序拍错信息

6.-F PRIORITY ##查看可控日志级别

7.u ##指定查看服务

8.–disk-usage##查看日志存放空间大小

9.–vacuum-size=1G ##设定日志存放大小
–vacumm-time=2W ##日志在系统中存放的最长时间这种方式是临时的
通过设置系统配置文件可以永久设定
配置文件路径：/etc/systemd/journald.conf

10.journalctl -f ##监控日志

实验二：journal服务永久存放日志
默认情况下，systemd日志保存在/run/log/journal中，在系统重启时会被清除，那如果将日志保存在/var/log/journal目录中这样就可以在启动后利用历史数据形成日志
1.设置文件


2.查看服务开启和重启时间

4.重启查看日志
日志均被保留说明实验成功

3.rsyslog服务

服务名称：rsyslog.service
存放路径：
/var/log/messages ##系统服务日志，常规信息，服务报错
var/log/secure ##系统认证信息日志
/var/log/maillog ##系统邮件日志信息
/var/log/cron ##系统定时任务信息
/var/log/boot.log ##系统启动日志信息
配置文件：/etc/rsyslog.conf

## 实验一：自定义日志采集路径
vim /etc/rsyslog.conf
日志类型.日志级别 日志存放路径

*.*    /var/log/westos    ##吧系统中所有级别的日志存放到westos中

日志类型

auth	用户认证
authpriv	服务认证
cron	时间任务
kern	内核类型
mail	邮件
news	系统更新信息
user	用户

日志级别

emerg	系统的严重问题日志
alert	系统中立即要更改的信息
crit	严重级别会导致系统软件不能正常工作
err	系统报错
warning	程序警告
notice	重要信息的普通日志
info	普通信息
debug	程序排错信息
none	不用写

编写认证文件
打开/etc/resslog.conf

*.*;authpriv.none   /var/log/westos 将所有级别的所有日志放到/var/log/westos里除了服务认证

实验二 如何更改日志采集格式

1.定义日志采集格式

$template WESTOS,"%FROMHOST-IP% %timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

#WESTOS: 格式名称
#%FROMHOST-IP：日志来源主机IP
#%timegenerated%: 日志生成时间
#%syslogtag%： 日正生成服务
#%msg%： 日志内容
#\n： 换行
2.设置日志采集格式应用

*.*;authpriv.none    /var/log/westos;WESTOS

实验三 日志的远程同步
rhel7-node1:192.168.43.24 存放日志作为日志接受端，所有人日志都存放到次台主机
rhel 8-node1：192.168.43.25 发送日志到rhel7-node主机中

1.在rhel7中设定接受所有人的日志
vim /etc/rsyslog.conf
15 $ModLoad imudp ##打开日志接受插件
16 $UDPServerRun 514 ##指定插件使用接口

2.在rhel8中设定发送日志到rhel7

vim /etc/tsyslog.conf
*.* @192.168.43.24

改完后要执行systemctl restart rsyslog
@表示使用udp传输日志
@@表示使用tcp传输日志
@192.168.43.24表示把日志用udp的方式传输到192.168.43.24主机中

关闭火墙

结果

4.timedatectl

timedatectl set-time “2020-02-13 10:41:55”	设定系统时间
timedatectl list-timezones	显示系统的所有时区
timedatectl set-timezone “Asia/Shanghai”	设定系统时区
timedatectl set-local0rtc 0/1	0表示使用utc时间计算方式 1表示使用普通时间计算方式

5.时间同步服务

服务名称： chronyd.service
配置文件： /etc/chrony.conf
在rhel7作为时间源rhel8同步rhel7时间
1.在rhel7中
vim /etc/chrony.conf
26 allow 192.168.43.0/25 允许192.168.43网段主机同步时间
29 localstratum10 开启时间同步服务器功能并设定级别为10
systemctl restart chronyd.service
systemctl stop firewalld

2.在rhel8中
vim /etc/chrony.conf
pool 192.168.43.25 iburst
systectl restart chronyd
显示在rhel8中已经显示rhel7中的时间