必须搞懂的Linux日志管理

---

前言

必须搞懂的Linux日志管理。

---

一、journal方式管理日志

环境准备

systemctl stop firewalld

journal介绍

服务名称 ： systemd-journald.service
查询命令 ： journalctl
默认日志存放路径 ： /run/log

journalctl 命令的用法

journalctl
-n 3 ： 日志的最新3条
–since “2020-05-01 11:00:00” ##显示11：00后的日志
–until “2020-05-01 11:05:00” ##显示日志到11：05
-o ： 设定日志的显示方式

1. short 经典模式显示日志
2. verbose 显示日志的全部字节
3. export 适合传出和备份的二进制格式
4. json js格式显示输出

-p ： 显示制定级别的日志

 0 emerg 系统的严重问题日志
 1 alert 系统中立即要更改的信息
 2 crit 严重级别会导致系统软件不能正常工作
 3 err 程序报错
 4 warning 程序警告
 5 notice 重要信息的普通日志
 6 info 普通信息
 7 debug 程序拍错信息

-F PRIORITY ： 查看可控日志级别

journalctl -F UNIT	# 查看日志程序名称

-u sshd ： 指定查看服务
–disk-usage ： 查看日志大小
–vacuum-size=1G ： 设定日志存放大小
–vacuum-time=1W ： 日志在系统中最长存放时间
-f ： 监控日志

用journald服务永久存放日志系统中默认日志

在:/run/log/journal中
默认方式在系统重启后日志会被清理
要永久保存日志请完成以下操作：

mkdir /var/log/journal
chgrp systemd-journal /var/log/journal
chmod 2775 /var/log/journal
systemctl restart systemd-journald.service

当服务重启日志存放路径会被制定到：/var/log/journal

二、rsyslog方式管理日志

日志存放：
/var/log/messages ： 系统服务日志，常规信息，服务报错
/var/log/secure ： 系统认证信息日志
/var/log/maillog ： 系统邮件日志信息
/var/log/cron ： 系统定时任务信息
/var/log/boot.log ： 系统启动日志信息
配置文件：/etc/rsyslog.conf

自定义日志采集路径

vim /etc/rsyslog.conf   

*.*                    /var/log/westos##把系统中所有级别的日志存放到westos中
*.*;authpriv.none      /var/log/westos ##把系统中所有级别的日志存放到westos中
										##但是authpriv不存放到westos中

日志类型

auth ： 用户认证
authpriv ： 服务认证
cron ： 时间任务
kern ： 内核类型
mail ： 邮件
news ： 系统更新信息
user ： 用户

日志级别

debug ： 程序排错信息
info ： 程序常规运行信息
notice ： 重要信息的普通日志
waring ： 程序警告
err ： 程序报错
crit ： 严重级别会导致系统软件不能正常工作
alert ： 系统中立即要更改的信息
emerg ： 系统的严重问题日志
none ： 不采集

日志同步

发送端设定

接收端设定

systemctl restart rsyslog
@ 表示使用udp传输日志
@@ 表示使用tcp传输日志
@172.25.254.20 把本机日志用udp的传输方式发送到172.25.254.20主机

设定日志的采集文件

修改默认采集格式

修改部分采集格式

三、时间同步

手动设定

systemctl stop chronyd	# 关闭时间同步服务

系统是时间查询

timedatectl set-time "2021-10-11 11:11:11"	# 时间修改
timedatectl		# 系统时间查询

时区查询

timedatectl list-timezones

时区设定

timedatectl set-timezone "Africa/Gaborone"

同步系统时间和硬件时间

timedatectl set-local-rtc 0

自动同步

服务器设定

vim /etc/chrony.conf 
systemctl restart chronyd.service 
systemctl disable --now firewalld

主机设定
vim /etc/chrony.conf
systemctl restart chronyd.service
systemctl disable --now firewalld

查询时间来源