文件系统与日志分析

inode与block

inode和block概述

文件数据包括元信息与实际数据
文件存储在硬盘上，硬盘最小存储单位是“扇区”，每个扇区存储512字节
block（块）
连续的八个扇区组成一个block
是文件存取的最小单位
inode（索引节点）
中文译名为“索引节点”，也叫i节点
用于存储文件元信息

inode的内容

inode包括文件的元信息
文件的字节数
文件拥有者的User ID
文件的Group ID
文件的读、写、执行权限
文件的时间戳

Linux系统文件三个主要的时间属性
ctime（change time）
最后一次改变文件或目录（属性）的时间
atime（access time）
最后一次访问文件或目录的时间
mtime（modify time）
最后一次修改文件或目录（内容）的时间
目录文件的结构
1、目录也是一种文件
2、目录文件的结构
每个inode都有一个号码，操作系统用inode号码来识别不同的文件
Linux系统内部不使用文件名，而使用inode号码来识别文件
对于用户，文件名只是inode号码便于识别的别称

inode号码

用户通过文件名打开文件时，系统内部的过程
1、系统找到这个文件名对应的inode号码
2、通过inode号码，找到inode信息
3、根据inode信息，找到文件数据所在的block，读出数据
查看inode号码的方法
ls -i命令：查案文件名对应的inode号码
ls -i aa.txt
stat命令：查看文件inode信息中的inode号码
stat aa.txt

inode的大小

inode也会消耗硬盘空间
1、每个inode的大小
2、一般是128字节或256字节
格式化文件系统时确定inode的总数
使用df -i命令可以查看每个硬盘分区的inode总数和已经使用的数量

inode的特殊作用

由于inode号码与文件名分离，导致一些Unix/Linux系统具有以下的现象
1、当文件名包含特殊字符，可能无法正常删除文件，直接删除inode，也可以删除文件
2、移动或重命名文件时，只改变文件名，不影响inode号码
3、打开一个文件后，系统通过inode号码来识别该文件，不再考虑文件名

inode点数耗尽的实验

1、正常对一块磁盘分区、格式化、挂载
2、df -i /挂载点  查看该挂载点的inode点的可用数量
3、vi 一个shell文件，具体内容如下：
vi kill.sh
#! /bin/bash
i=1
while [$i  -le  19916]
do
touch /backup/file$!
let  i++
done
4、然后再df  -i查询下inode可用数量还有没有
5、确认inode数量没有后，我们再touch一个新文件，看看会是什么结果

恢复XFS类型的文件

xfsdump命令格式
xfsdump -f 备份存放位置 要备份的路径或设备文件
xfsdump备份级别（默认为0）
0：完全备份
1-9：增量备份
xfsdump常用选项：

xfsestore命令格式
xfsrestore -f 恢复文件的位置 存放恢复后文件的位置
模拟删除并执行恢复操作

日志文件

日志的功能
1、用于记录系统、程序运行中发生的各种事件
2、通过阅读日志，有助于诊断和解决系统故障
日志文件的分类
内核及系统日志
由系统服务rsyslog同一进行管理，日志格式基本相似
用户日志
记录系统用户登录及退出系统的相关信息
程序日志
由各种应用程序独立管理的日志文件，记录格式不统一

日志保存位置
默认位于：/var/log
主要日志文件介绍
内核及公共消息日志：/var/log/messages
计划任务日志：/var/log/cron
系统引导日志：/var/log/dmesg
邮件系统日志：/var/log/mailog
用户登录日志：
/valr/log/lastlog
/valr/log/secure
/valr/log/wtmp
/valr/log/btmp

内核及系统日志

由系统服务rsyslog统一管理
软件包：rsyslog-7.4.7-16.el7.x86_64
主要程序：/sbin/rsyslog
配置文件：/etc/rsyslog.conf
日志消息的级别

日志记录的一般格式
时间标签+主机名+子系统名+消息字段

用户日志分析

保存了用户登录/退出系统等相关信息
/var/log/lastlog：最近的用户登录事件
/var/log/wtmp:用户登录、注销及系统开/关机事件
/var/run/utmp:当前登录的每个用户的详细信息
/var/log/secure:与用户验证相关的安全性事件
分析工具
users、who、w、last、lastb

程序日志分析

由相应的应用程序堵路进行管理
Web服务：/var/log/httpd
access_log、error_log
代理服务：/var/log/squid/
access_log、cache.log
FTP服务：/var/log/xferlog
分析工具
1、文本查看、grep过滤检索、Webmin管理套件中查看
2、awk、sed等文本过滤、格式化编辑工具
3、Webalizer、Awstats等专用日志分析工具

日志管理策略

及时做好备份和归档
延长日志保存期限
控制日志访问权限
日志中可能会包含各类敏感信息，如账户、口令等
集中管理日志
1、将服务器的日志文件发到统一的日志文件服务器
2、便于日志信息的统一收集、整理和分析
3、杜绝日志信息的意外丢失、恶意篡改或删除