Linux--深入理解Linux文件系统与日志文件

前言

在处理Linux系统出现的各种故障时，故障的症状是最易发现的，而导致这一故障的原因才是最终排除故障的关键，熟悉Linux系统中常见的日志文件，了解一般故障的分析与解决办法，将有有助有管理员快速定位故障点，从而对症下药，及时解决各种系统问题，

一、深入理解Linux文件系统

崭新的操作系统的文件数据除了实际内容外，通常含有非常多的属性，例如Linux操作系统的文件权限与文件属性。文件系统通常会将这两部分分别放在inode和block中。

1.1、inode 与block 详解

1.1.1、inode 和block 概述

文件数据包括元信息与实际数据

文件存储在硬盘上，硬盘的最小存储单位是“扇区”，每个扇区存储512字节

文件是存储在硬盘上的，硬盘的最小存储单位叫做“扇区”（sector），每个扇区存储 512字节。操作系统读取硬盘的时候，不会一个个扇区地读取，这样效率太低，而是一次性连续读取多个扇区，即一次性读取一个"块"（block）。这种由多个扇区组成的"块"，是文件存取的最小单位。"块"的大小，最常见的是 4KB，即连续八个 sector 组成一个 block。

文件数据存储在“块”中，那么还必须找到一个地方存储文件的元信息，比如文件的创建者、文件的创建日期、文件的大小等等。这种存储文件元信息的区域就叫做 inode，中文译名为“索引节点”，也叫 i 节点。因此，一个文件必须占用一个 inode，但至少占用一个 block。

1.1.2、inode 的内容

inode 包含很多的文件元信息，但不包含文件名，例如：
文件的字节数

文件拥有者的 UserID

文件的 GroupID

文件的读、写、执行权限

文件的时间戳

使用 stat 命令即可查看某个文件的 inode 信息

Linux 系统文件有三个主要的时间属性，分别是ctime(change time), atime(access time), mtime(modify time)。
ctime(change time) 是最后一次改变文件或目录（属性）的时间，例如执行 chmod， chown 等命令；

atime(access time)是最后一次访问文件或目录的时间；

mtime(modify time)是最后一次修改文件或目录（内容）的时间。

刚才提到 inode 中并不包括文件名，其实文件名是存放在目录当中的。Linux 系统中一切皆文件，因此目录也是一种文件。
每个 inode 都有一个号码，操作系统用 inode 号码来识别不同的文件，Linux 系统内部不使用文件名，而使用 inode 号码来识别文件。对于用户来说，文件名只是 inode 号码便于识别的别称。

1.1.3、inode 的号码

户在访问文件时，表面上是用户通过文件名来打开文件，而实际系统内部的过程分成 以下三步：
系统找到文件名对应的 inode 号码；

通过 inode 号码，获取 inode 信息；

根据 inode 信息，找到文件数据所在的 block，并读出数据。

常见的查看 inode 号码的方式有两种：
ls -i 命令：直接查看当前目录文件名所对应的 inode 号码；

ls -ai 命令：直接查看当前目录文件及隐藏文件所对应的 inode 号码；

stat 命令：通过查看文件 inode 信息而查看到 inode 号码。

1.1.4、inode 的大小

inode 也会消耗硬盘空间，所以格式化的时候，操作系统自动将硬盘分成两个区域。一个是数据区，存放文件数据；另一个是 inode 区，存放 inode 所包含的信息。每个 inode 的大小，一般是 128 字节或 256 字节。通常情况下不需要关注单个 inode 的大小，而是需要重点关注 inode 总数。inode 的总数在格式化时就给定了，执行“df -i”命令即可查看每个硬盘分区对应的的 inode 总数和已经使用的 inode 数量。

1.1.5、inode 的特殊作用

由于 inode 号码与文件名分离，导致一些 Unix/Linux 系统具备以下几种特有的现象。
文件名包含特殊字符，可能无法正常删除。这时直接删除 inode，能够起到删除文件的作用；

移动文件或重命名文件，只是改变文件名，不影响 inode 号码；

打开一个文件以后，系统就以 inode 号码来识别这个文件，不再考虑文件名。

1.2、硬链接与软链接

在 Linux 系统下的链接文件有两种，一种类似于 Windows 的快捷方式功能的文件，可以快速连接到目标文件或目录，称之为软链接；另一种则是通过文件系统的 inode 链接来产生的新文件名，而不是产生新文件，称之为硬链接。

1.2.1、硬链接

一般情况下，文件名和 inode 号码是一一对应关系，每个 inode 号码对应一个文件名。但是 Linux 系统允许多个文件名指向同一个 inode 号码。这意味着，可以用不同的文件名访问同样的内容。ln 命令可以创建硬链接，命令的基本格式为：ln 源文件 目标

运行该命令以后，源文件与目标文件的 inode 号码相同，都指向同一个 inode。inode
信息中的“链接数”这时就会增加 1 。

当一个文件拥有多个硬链接时，对文件内容修改，会影响到所有文件名；但是删除一个文件名，不影响另一个文件名的访问。删除一个文件名，只会使得 inode 中的"链接数"减 1。需要注意的是不能对目录做硬链接。

1.2.2、软链接

软链接就是再创建一个独立的文件，而这个文件会让数据的读取指向它连接的那个文件 的文件名。例如，文件 A 和文件 B 的 inode 号码虽然不一样，但是文件 A 的，内容是文件B 的路径。读取文件 A 时，系统会自动将访问者导向文件 B。这时，文件 A 就称为文件 B 的“软链接”（soft link）或者“符号链接（symbolic link）。

这意味着，文件 A 依赖于文件 B 而存在，如果删除了文件 B，打开文件 A 就会报错。这是软链接与硬链接最大的不同：文件 A 指向文件 B 的文件名，而不是文件 B 的 inode 号码，文件 B 的 inode“链接数”不会因此发生变化。

软链接的创建命令的基本格式为：
ln -s 源文件或目录 目标文件或目录

二、分析日志文件

2.1、日志的功能

日志文件是用于记录 Linux 操作系统中各种运行消息的文件，相当于 Linux 主机的“日记”。不同的日志文件记载了不同类型的信息，如 Linux 内核消息、用户登录事件、程序错误等。

日志文件对于诊断和解决系统中的问题很有帮助，因为在 Linux 操作系统中运行的程序通常会把系统消息和错误消息写入相应的日志文件，这样系统一旦出现问题就会“有据可查”。 此外，当主机遭受攻击时，日志文件还可以帮助寻找攻击者留下的痕迹。本节将对 Linux 操作系统中的主要日志文件及分析方法进行介绍。

2.2、日志文件的分类

内核及系统日志
由系统服务rsyslog统一进行管理，日志格式基本相似

用户日志
记录系统用户登录及退出系统的相关信息

程序日志
由各种应用程序独立管理的日志文件，记录格式不统一

2.3、日志文件分析

熟悉了系统中的主要日志文件以后，下面将介绍针对日志文件的分析方法。分析日志文 件的目的在于通过浏览日志查找关键信息、对系统服务进行调试，以及判断发生故障的原因 等。本小节主要介绍三类日志文件的基本格式和分析方法。

2.3.1、内核及系统日志

内核及系统日志功能主要由默认安装的 rsyslog-7.4.7-16.el7.x86_64.rpm 软件包提供。rsyslog 服务所使用的配置文件为/etc/rsyslog.conf。通过查看/etc/rsyslog.conf 文件中的内容，可以了解到系统默认的日志设置。
从配置文件/etc/rsyslog.conf 中可以看到，受 rsyslogd 服务管理的日志文件都是 Linux 操作系统中主要的日志文件，它们记录了 Linux 操作系统中内核、用户认证、电子邮件、计划任务等基本的系统消息。在 Linux 内核中，根据日志消息的重要程度不同，将其分为不同的优先级别（数字等级越小，优先级越高，消息越重要）。

对于 rsyslog 服务统一管理的大部分日志文件，使用的日志记录格式基本上是相同的。以公共日志/var/log/messages 文件的记录格式为例，其中每一行表示一条日志消息，每一条消息均包括以下四个字段。
时间标签：消息发出的日期和时间。

主机名：生成消息的计算机的名称。

子系统名称：发出消息的应用程序的名称。

消息：消息的具体内容。

2.3.2、用户日志

（1）查询当前登录的用户情况——users、who、w 命令
users 命令只是简单地输出当前登录的用户名称，每个显示的用户名对应一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显示与其相同的次数。

who 命令用于报告当前登录到系统中的每个用户的信息。使用该命令，系统管理员可以查看当前系统存在哪些不合法用户，从而对其进行审计和处理。who 的默认输出包括用户名、终端类型、登录日期及远程主机。

w 命令用于显示当前系统中的每个用户及其所运行的进程信息，比 users、who 命令的输出内容要丰富一些。

（2）查询用户登录的历史记录——last、lastb 命令
last 命令用于查询成功登录到系统的用户记录，最近的登录情况将显示在最前面。通过last 命令可以及时掌握 Linux 主机的登录情况，若发现未经授权的用户登录过，则表示当前主机可能已被入侵。

lastb 命令用于查询登录失败的用户记录，如登录的用户名错误、密码不正确等情况都将记录在案。登录失败的情况属于安全事件，因为这表示可能有人在尝试猜解你的密码。除 了使用 lastb 命令查看以外，也可以直接从安全日志文件/var/log/secure 中获得相关信息。

2.3.3、程序日志

在 Linux 操作系统中，还有相当一部分应用程序没有使用 rsyslog 服务来管理日志，而是由程序自己维护日志记录。例如，httpd 网站服务程序使用两个日志文件 access_log 和error_log 分别记录客户访问事件和错误事件。不同应用程序的日志记录格式差别较大，且没有严格使用统一的格式，这里不再详细介绍。
总的来说，作为一名合格的系统管理人员，应该提高警惕，随时注意各种可疑状况，定 期并随机检查各种系统日志文件，包括一般信息日志、网络连接日志、文件传输日志及用户登录日志记录等。在检查这些日志时，要注意是否有不合常理的时间或操作记录。例如，出现以下现象就应多加注意。
用户在非常规的时间登录，或者用户登录系统的 IP 地址和以往的不一样。

用户登录失败的日志记录，尤其是那些一再连续尝试进入失败的日志记录。

非法使用或不正当使用超级用户权限。

无故或者非法重新启动各项网络服务的记录。

不正常的日志记录，如日志残缺不全，或者是诸如 wtmp 这样的日志文件无故缺少了中间的记录文件。

另外，需要提醒管理人员注意的是，日志并不是完全可靠的，高明的黑客在入侵系统后 经常会打扫现场。所以管理人员需要综合运用以上的系统命令，全面、综合地进行审查和检 测，切忌断章取义，否则将可能做出错误的判断。

2.4、日志管理策略