Linux系统中的日志管理

目录

 一. journald

1. journalctl命令的用法

2. 永久存放日志 

二. rsyslog

1、自定义日志采集路径

2、更改日志采集格式 

3、日志的远程同步 

三. timedatectl

四. 时间同步服务

---

 一. journald

服务名称 ： systemd - journald.service

journalctl

默认日志存放路径 ： / run / log

1. journalctl命令的用法

journalctl

                            - n 3                                               日志的最新3 条

                            -- since " 2020 - 05 - 01 11 : 00 : 00"     显示 11 ： 00 后的日志

                            --until " 2020 - 05 - 01 11 : 05 : 00"      显示日志到 11 ： 05

                            - o                                                 设定日志的显示方式

                            # short                                         经典模式显示日志

                            # verbose                                     显示日志的全部字节

                            # export                                        适合传出和备份的二进制格式

                            # json                                           js格式显示输出

                            - p                                                  显示制定级别的日志

                            # 0 emerg                                      系统的严重问题日志

                            # 1 alert                                         系统中立即要更改的信息

                            # 2 crit                                             严重级别会导致系统软件不能正常工作

                            # 3 err                                             程序报错

                            # 4 warning                                      程序警告

                            # 5 notice                                       重要信息的普通日志

                            # 6 info                                           普通信息

                            # 7 debug                                       程序拍错信息

                            - F PRIORITY                                  查看可控日志级别

                            - u sshd                                            指定查看服务

                            -- disk - usage                                     查看日志大小

                            -- vacuum - size = 1G                           设定日志存放大小

                            -- vacuum - time = 1W                         日志在系统中最长存放时间

                            - f                                                     监控日志

                            journalctl _PID = 10924 _SYSTEMD_UNIT = sshd.service

 

2. 永久存放日志 

系统中默认日志在：/run/log/journal中
默认方式在系统重启后日志会被清理，要永久保存日志完成以下操作：
（1）创建新目录：/var/log/journal
（2）将用户组改为systemd-journal
（3）更改目录权限为2775
（4）重启日志服务，重启后日志存放路径会被指定到：/var/log/journal

mkdir /var/log/journal

chgrp systemd-journal /var/log/journal

chmod 2775 /var/log/journal

systemctl restart systemd-journald.service

 

二. rsyslog

服务名称：rsyslog.service

日志存放 ：

/ var / log / messages       # 系统服务日志 ， 常规信息 ， 服务报错

/ var / log / secure             # 系统认证信息日志

/ var / log / maillog            # 系统邮件日志信息

/ var / log / cron                # 系统定时任务信息

/ var / log / boot. log           #系统启动日志信息

配置文件 ： / etc / rsyslog.conf

1、自定义日志采集路径

（1）编写配置文件
（2）重启日志采集服务

路径：vim / etc / rsyslog.conf

日志类型 . 日志级别 日志存放路径

*.* / var / log / westos                          ## 把系统中所有级别的日志存放到 westos 中

*.* ;authpriv.none / var / log / westos   ## 把系统中所有级别的日志存放到 westos 中

                                                      ## 但是 authpriv 不存放到 westos 中

日志类型

auth        # 用户认证

authpriv  # 服务认证

cron        # 时间任务

kern        # 内核类型

mail        # 邮件

news      # 系统更新信息

user        # 用户

日志级别

debug     # 程序排错信息

info         # 程序常规运行信息

notice     # 重要信息的普通日志

waring    # 程序警告

err          # 程序报错

crit         # 严重级别会导致系统软件不能正常工作

alert       # 系统中立即要更改的信息

emerg    # 系统的严重问题日志

none      # 不采集

2、更改日志采集格式 

定义日志采集格式：

$template WESTOS_FORMAT, "%FROMHOST-IP% %timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

#WESTOS_FORMAT： 格式名称

#%FROMHOST-IP%： 日志来源主机IP

#%timegenerated%：   日志生成时间

#%syslogtag%：           日志生成服务

#%msg%：                    日志内容

#\n：                              换行

1和2例如： 

3、日志的远程同步 

用westosb主机接收westosa主机的日志，保证两台主机的日志同步
主机westosb（接收方）设置：
（1）关闭防火墙
（2）编写配置文件：使用UDP方式接收日志（类似于短信，不需要对方立即接收，即可发送；TCP方式类似于打电话，需要对方立即接听，才可通话），打开日志接收插件，指定插件使用端口
（3）重启rsyslog服务
（4）查询端口

systemctl stop firewalld

vim /etc/rsyslog.conf

systemctl restart rsyslog.service

netstat -antlupe | grep rsyslog

 另一台主机：

vim /etc/rsyslog.conf

本机查看一下

三. timedatectl

时间管理设置：

timedatectl set - time " 2020 - 02 - 13 10 : 41 : 55 "         ## 设定系统时间

timedatectl list - timezones                                     ##显示系统的所有时区

timedatectl set - timezone "Asia / Shanghai"            ## 设定系统时区

timedatectl set - local - rtc 0 | 1                                   ##设定系统时间计算方式

                                                                             ##0 表示使用 utc 时间计算方式

四. 时间同步服务

服务名称 ： chronyd.service

配置文件 ： / etc / chrony.conf

用 rhel8-1主机作为时间源， rhel8-2主机同步它的时间：
rhel8-1主机（时间源）设定：
（1）编辑配置文件：允许同步主机同步，开启时间同步服务器功能
（2）重启时间同步服务
（3）关闭防火墙

查看 ：

在 time_client 中查看时间 ：

现实已经变成 time_server 中时间

使用 chronyc 命令查看时间效果 ：

[root @rhel8_node1 ~ ]# chronyc sources - v

另一台主机的时间同步：