linux日志管理篇

一、rsyslog服务
此服务只是用来采集日志的，它不会产生日志，只是起到把日志采集到一起的作用。

二.rsyslog服务管理
vim /etc/rsyslog.conf ##系统的日志配置文件

什么类型的日志.什么级别的日志 保存文件的绝对路径 ##日志采集规则
authpriv.info /var/log/file ##把ssh，ftp登录信息的一般信息日志保存在/var/log/file文件里

三.日志类型
auth ##pamv产生的日志
authpriv ##ssh.ftp等登录信息的验证信息
cron ##时间任务相关
kren ##内核
lpr ##打印
mail ##邮件
mark(syslog)-re=rsyslog ##服务内部的信息，时间标识
news ##新闻组
user ##用户程序产生的相关信息
uucp ##unix to unix copy，unix主机之间相关的通讯
local 1～7 ##自定义的日志设备

四.日志的级别
debug ##有调试信息的，日志信息最多
info ##一般信息的日志，最常用
notice ##最具有重要性的普通条件的信息
warning ##警告级别
err ##错误级别，阻止某个功能或者模块不能正常工作的信息
crit ##严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert ##需要立刻修改的信息
emerg ##内核崩溃等严重信息
none ##什么都不记录
注意：从上到下，级别从低到高，记录的信息越来越少

五.日志的远程同步

插件：实现功能的小程序（模块）

（1）在日志发送方：
vim /etc/rsyslog.conf
在文件中写入，你需要将什么类型的什么级别的日志发送到哪一台主机去
man 5 rsyslog.conf ##查看文件的帮助文档

通过帮助文档，我们可以看到UDP远程同步日志的书写格式为：

. @192.168.0.1 ##把任意类型的任意级别日志，发送到ip192.168.0.1的主机。

接下来，重启rsyslog服务

systemctl restart rsyslog

在客户机，也就是日志接受方：
vim /etc/rsyslog.conf
打开15，16行的UDP接受模块：
15 $ModLoad imudp
16 $UDPServerRun 514

接下来是操作事例
日志发送方：
vim /etc/rsyslog.conf
打开接受UDP日志文件的模块。
systemctl restart rsyslog ##重启服务
systemctl stop firewalld ##关闭防火墙
systemctl disable firewalld ##设置防火墙开机不启动
在测试前，清空两个主机的/var/log/messages文件，方便实验结果的查看。

/var/log/messages

发送方：

/var/log/messages ##清空messages日志文件
logger hahaha ##产生测试日志信息hahaha
cat /var/log/messages ##查看日志
从图可以看到，发送方已经产生了hahaha日志信息

接受方：

/var/log/messages ##清空messages日志文件
cat /var/log/messages ##查看日志

图中可以看到，发送方的日志同步到了接收方的messages文件中。

四、日志采集格式的设定
更改配置文件rsyslog.conf
vim /etc/rsyslog.conf
1添加：
$template RULES,"%FROMHOST-IP% %timegenerated% %syslogtag% %msg%\n"
显示主机ip 显示日志时间 日志记录目标 日志内容 换行


五、时间同步服务
服务名称chronyd
在服务端
vim /etc/chrony.conf
更改以下内容：
allow 172.25.254.18/24 ##允许哪些客户端来同步本机时间
local stratum 10 ##本机不同步任何主机时间，本机作为时间源
systemctl restart chronyd ##重启服务
systemctl stop firewalld ##关闭防火墙
timedatectl set-timezone Asia/Shanghai ##更改当前时区为东8区


在客户端：

vim /etc/chrony.conf
server 172.25.254.233 iburst ##本机立即同步233主机时间
systemctl restart chronyd
systemctl stop firewalld
timedatectl set-timezone Asia/Shanghai ##更改当前时区为东8区

测试：
客户端
chronyc sources -v

表示：会同步172.25.254.28主机的时间
服务端更改时间：
客户端时间查看时间：
六、timedatectl命令
timedatectl ##管理系统时间
timedatectl ##管理系统时间
timedatectl status ##显示当前时间信息
set-time ##设定当前时间
set-timezone ##设定当前时区
set-local-rtc 0|1 ##设定是否使用utc时间
list-timezones ##查看支持的所有时区
七、journal
1、journalctl ##日志查看工具
-n 3 ##查看最近3条日志
-p err ##查看错误日志
-o verbose ##查看日志详细参数
–since ##查看从什么时间开始的日志
–until ##查看到什么时间为止的日志

journalctl -n 3
journalctl -p err

journalctl --since 11:20 --until 11:31

2、如何使用systemd-journald保存系统日志
默认systemd-journald是不能保存到系统日志到硬盘的，那么关机后再次开机只能看到本次开机后的日志，上次关机之前的日志是无法查看到的。
那么，怎么解决这个问题呢？
mkdir /var/log/journal
chgrp systemd-journal /var/log/journal
chmod g+s /var/log/journal
killall -1 systemd-journald

重启前的时间是22：28：56，重启后用journalctl查看日志，如果有22：28：56之前的日志，则说明systemd-journald保存到系统日志到硬盘了。