如何做好Linux系统的日志管理（二)journal日志分析、timedatectl与chronyd服务

journal日志分析

为什么要使用journal采集日志

1. rsyslog采集日志，将日志保存在硬盘上，从硬盘读取，速度慢。
2. journal 不采集日志，直接从内存中查看并且显示日志 ，速度更快，默认设置下reboot 重启系统之后，日志会被清除。

journal命令

journalctl  #日志查看工具
journalctl -n #默认显示10条日志
journalctl   -n 3   #查看错误日志
journalctl -p err # 查看错误日志
journalctl -o verbose  #查看日志的详细参数
journalctl --since  #查看从什么时候开始的日志
journalctl--until  #查看到什么时间为止的日志
journalctl --since xxxxxxx --until xxxx #什么时候开始到什么时候结束

图示：
1.
2.
3.journal -o verbose
在查看日志信息之后，可以根据详细信息的一些，再查看日志
如，根据上图，journalctl _PID=101 _COMM=systemd-journal
4.5. journal --since 10:38 :00–until 10:40:18(后闭区间，18秒之前的是到03秒）

如何使用systemd-journald保存系统日志

原因：
默认systemd-journald是不会保存系统日志到硬盘的
那么关机之后再次开机时只能看到本次开机之后的日志
关机之前的日志是无法查看的

方法：

在硬盘创建一个区域，专门存放journal采集的日志
只有这样才会让journalctl采集日志。之前只是查看与显示日志。
步骤：

  1.mkdir /var/log/journal
  2.chgrp systemd-journal /var/log/journal/  #把这个文件放入这个组，让组控制这个文件
  3.chmod 2755 /var/log/journal/  #改变文件的权限，使systemd-journal组都能查看这个日志
  4.ls -ld /var/log/journal/
  5.ps aux | grep  journal #查看进程
  6.killall -1 /usr/lib/systemd/systemd-journald (或者killall -1 systemd-journald)#进程重新加载配置，不会关闭进程
  7.date
  8.ls /var/log/journal/
  9.bootctl #查看机器码
  10.reboot #重启
  10.journalctl  #采集日志，包括之前的

图示：

root重启机器,发现之前的日志信息还在

timedatectl 设置系统时间

命令：

timedatectl(status 可加可不加)  #查看系统时间详情
timedatectl set-time #设置当前时间
timedatectl set-timezone 某个时区  #设置时区  #中国为Asia/Shanghai
tiedatectl set-local-rtc 0|1  #是否使用UTC时间
timedatectl  set-ntp true|false #设置是否使用网络时间，此命令要想生效，必须先设置UTC时间生效
timedatectl list-timezones   #查看支持的所有时区

时间的具体含义：

Local time  本地时间
UTC  伦敦格林威治时间 （universal）
RTC time  本地硬件时间 
NTP enabled 是否开启网络时间
NTP  synchronized  本地时间是否和网络时间一致   是否同步过

图示：
1.
2.3.4.

5.注意:
cst（local time)=utc+8

chronyd 时间同步服务

为什么要实现时间同步

让日志发送方和接收方让时间保持一致，一般是服务端同步客户端。
查看设置自己主机时间用date

时间同步的具体步骤

1.在服务端配置文件，重启服务

vim /etc/chrony.conf
编辑
22行 allow 172.25.254.0/24 #允许前三位是172.25.254的客户端主机同步本机时间
29行 local stratum 10  #本机不同步任何主机时间，本机作为时间源

重启chronyd服务

systemctl restart chronyd

2.在客户端配置文件，重启服务

vim /etc/chrony.conf
编辑
server  要同步的服务端ip ibrust  #本机立即同步时间

重启chronyd服务

systemctl restart chronyd

3.客户端查看是否成功

chronyc sources -v 

4.测试是否成功

在客户端和服务端均输入date查看是否同步

延迟几秒钟是因为date命令延迟了几秒钟

图示：(将真机172.25.254.2的时间同步到172.25.254.210上）
1.2.
3.
在172.25.254.210中
4.
注意：
同步时间时，不能同步时区，时区是本地属性。