Linux系统下的日志管理

1.rsyslog在系统中的作用

1.系统日志的作用：记录系统中重要的事件，且日志是由程序本身产生的，日志可用于系统审核与故障排除。
2.日志的存放位置
一般系统中的日志存放在/var/log/目录底下，具体如下：

日志位置	功能
/var/log/messages	大部分文件都存放在此处
/var/log/secure	存放用户的认证信息
/var/log/maillog	存放与邮件服务器相关的部分文件
/var/log/cron	存放与定时任务相关的文件
/var/log/boot.log	存放与系统启动有关的日志文件

3.rsyslog服务
1）rsyslog服务不生成日志，只是日志的搬运工.在关闭rsyslog服务时，存储日志的文件会不记录rsyslog关闭时发生的命令，但当重新打开rsyslog服务时，会记录之前关闭期间的命令。

2）rsyslog服务的采集规则
rsyslog服务采集的日志都存放于/var/log底下的诸多对应目录中，日志的类型与级别可以分为下表所示，

日志类型	解释
auth	pam产生的日志
authpriv	ssh，ftp等登陆信息的验证信息
cron	时间任务相关的日志
kern	内核
lpr	打印
mail	与邮件相关的日志
mark(syslog)-rsyslog	服务内部的信息，时间标识
news	新闻组
user	用户程序产生的相关信息
uucp	unix主机之间相关的通讯的日志
local 1~7	自定义的日志设备
*	代表所有类型

日志级别	解释
debug	有调试信息的，日志信息最多
info	一般信息的日志，是最常用的
notice	最具有重要性的普通条件的信息
warming	警告级别
err	错误级别，阻止某一个模块不能正常工作的信息
crit	严重级别，阻止整个系统不能正常运作的信息
alert	需要立刻修改的信息
emerg	内核崩溃等严重信息
none	什么都不作记录
*	代表所有级别

若想更改不同类型的日志存放的位置时，可以在/etc/rsyslog.conf文件中，更改其存放位置，格式如下：



4.日志的远程同步
在日常的系统维护中，为了方便管理者管理每一台主机，依次查看每一台主机的日志显得不太现实，因此采用远程日志同步的方法，在进行远程日志同步时，要在日志的发送方和接受方分别进行操作设定。
1）在日志的发送方
在/etc/rsyslog.conf的配置文件下添加内容如下：
*.* @目标主机的IP
【注意】若采用TCP协议传送，使用两个@@加IP，在日志传送时，通常使用UDP协议进行传送，则使用一个@加IP，在更改配置文件后要重启rsyslog服务。

2）在日志的接收方
在接收方，同样在/etc/rsyslog.conf配置文件下的15,16行打开UDP服务，

【注意】15行含义：加载UDP的插件。16行含义：打开UDP协议所用到的接口。同样重启rsyslog服务。
在发送方和接收方更改配置文件之后，要关闭火墙。

5.自定义日志采集格式
要想设定日志采集的格式，同样在/etc/rsyslog.conf的配置文件下，修改:
$template +自定义格式名，"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"
上述格式中：

指令	功能介绍
%timegenerated%	日志记录的时间戳
%FROMHOST-IP%	显示主机的IP
%syslogtag%	日志记录的目标
%msg%	日志记录的内容

上述的4个指令，可以随意调动顺序。


【在指定的日志中采用WESTOS的自定义格式】

【修改系统默认日志的采集格式为WESTOS】

6.系统时间的修改工具timedatectl
对系统的时间进行修改时，所用到的指令为timedatectl：

指令	功能介绍
timedatectl	显示当前时间信息
timedatectl set-time	设置当前时间
timedatectl list-timezones	查看所有时区
timedatectl set-timezone	设置当前所在的时区
timedatectl set-local-rtc 0/1	设置是否使用utc时间，0表示使用，1表示不使用
timedatectl set-ntp true/false	设置是否同步别人的时间

7.同步时间
在日志记录的过程中，为了保证发送端和接收端的日志时间一致，因此会考虑同步时间，
1)发送端：在/etc/chrony.conf文件下，操作如下，更改配置文件后，重启chronyd.service服务，要关闭火墙，

2）接收端：同样在/etc/chrony.conf的配置文件内，更改如下：

3）检验：chronyc sources -v

8.journalctl命令的使用
1）journalctl也可用来查看记录的日志，但与rsyslog不同的是，rsyslog会将日志记录在硬盘中，但journalctl只是暂时保存，当系统断时，journalctl记录的日志会消失。

指令	解释
journalctl	日志查看工具
journalctl -n	查看最近的10条日志
journalctl -n +number	查看最近的number条日志
journalctl -p err	查看记录的错误日志
journalctl --since	查看自什么时候开始的日志
journalctl --until	查看到什么时候结束的日志
journalctl -o verbose	查看日志的详细参数

2）利用systemd-journald采集保存日志
与rsyslog不同的是，journalctl不会将日志记录在硬盘中，因此系统断电后日志会消失，因此建立日志采集的位置，即可保存日志。
mkdir /var/log/journal ###建立日志采集路径
chgrp systemd-journal /var/log/journal ###设定日志的组
chmod 2755 /var/log/journal ###将日志的权限加到组内所有成员
killall -1 systemd-journald ###后台刷新该服务
ls /var/log/journal/ ###会产生一个进程码