11.深入理解Linux文件系统与日志分析

inode和block解释

文件数据包括元信息与实际数据

元信息：记录着数据的属性，是什么，干嘛的（说明书）

实际数据：数据包的真实数据

文件存储在硬盘上，硬盘最小存储单位是扇区，每个扇区存储512字节

block（块）

连续的八个扇区组成一个 block

​ 是文件存取的最小单位

inode（索引节点）也占用空间，inode节点满了，显示磁盘空间占比过高，不可创建文件

中文 译名为索引节点，也加i节点

用于存储文件云信息

inode的内容

inode包含文件的元信息

文件的字节数

文件拥有者的User ID 不包含文件名

文件的Group ID

文件的读，写，执行权限

文件的时间戳

用stat命令可以查看某个文件的inode信息或 ls -i

inode也会消耗硬盘的空间，所以格式化的时候，操作系统自动将硬盘分成两个区域，一个是数据区存放文件数据，另一个是inode区存放inode所包含的信息，每个inode的大小，一般是128字节或256字节。

一般情况下不需要关注单个inode的大小，而是需要重点关注inode总数，inode的总数在格式化时就给定了，执行df -i 命令即可查看每个硬盘分区对应的inode总数和已经使用的inode数量，一般是每1KB或2KB就设置一个inode。

特殊现象

由于inode号码与文件名的分离，导致Linux系统有几种特殊现象：

1.文件名包含特殊字符，可能无法删除，这时直接删除inode，能够起到删除文件的作用

2.移动文件或重命名文件，只是改变文件名，不影响inode号码

3.打开一个文件以后，系统就以inode号码来识别这个文件，不在考虑文件名

4.文件数据被修改保存后，会生成一个新的inode号码

find ./ -inum ino号 -exec rm -i {} ;

find ./ -inum 2433050 -delete

Linux系统文件三个主要的时间属性

ctime（change）：最后一次改变文件或目录（属性）的时间

atime（access）：最后一次访问文件或目录的时间

mtime（modify）：最后一次修改文件或目录（内容）的时间

目录文件的结构

目录也是一种文件

目录文件的结构

每个inode都是一个号码，操作系统用inode号码来识别不同的文件

Liinx系统内部不使用文件名，而使用inode号码来识别文件

对于用户，文件名只是inode号码便于识别的别称

文件储存

硬盘分区后的结构

访问文件的简单流程图

恢复xfs类型文件（文件系统备份）

xfsdump命令

格式：

使用限制：

1.只能备份已挂载的文件系统

2.必须使用root的权限才能操作

3.只能备份XFS文件系统

4.备份后的数据只能让 xfsrestore 解析

5.不能备份两个具有相同UUID 的文件系统（可用blkid 命令出查看）

xfsdump备份级别（默认为0）

0：完整备份（有多少数据备份多少）

1-9：增量备份（只备份变更部分）

每个一段时间还会，完全备份

xfsdump常用选项：
-f：指定备份文件目录
-L：指定标签 session label

-M：指定设备标签

-s：备份单个文件，-s后面不能直接跟路径

xfsrestore命令

格式：

测试，模拟删除并执行恢复操作

先fdisk 分区

刷新磁盘

刷新文件系统分区

创建一个目录并挂载

切换到挂载目录，并模仿复制个文件，

使用xfsdump备份，备份到/opt /命名，备份的是/dev/sdb2分区里的所有文件，回车后会有一些交互动作，一直回车就可以

查看是否备份好

模拟误删除ky20目录下，上面复制的文件，

恢复误删文件，从备份出提取，复制到误删目录，文件恢复

日志文件叙述

日志的功能

用于记录系统，程序运行中发生的各种事件

通过阅读日志，有助于诊断和解决系统故障

日志文件的分类

内核系统日志

由系统服务 rsyslog 统一进行管理，日志格式基本相似

用户日志

记录系统用户登录及退出系统的相关信息

程序日志

由各种应用程序独立管理的日志文件，记录格式不统一

sort -nr 倒叙

日志保存位置

默认位于：/var/log目录下

主要日志文件介绍

日志消息的级别**

日志记录的一般格式

用户日志分析

保存了用户登录，退出系统等相关信息

分析工具

users，who，w，last，lastb

程序日志分析

由相应的应用程序独立进行管理

分析工具

grep，awk（基于列表过滤），sed（基于行的过滤）正则表达式的三剑客

文本查看，grep过滤检索，Webmin管理套件中查看

awk，sed等文本过滤，格式化编辑工具

Wedalizer，Awstats等专用日志分析工具

日志管理策略

及时作好备份和归档

延长日志保存期限

控制日志访问权限

日志中有可能会包含各类敏感信息，账号，命令等

集中管理日志

将服务器的日志文件发到统一的日志文件服务器

便于日志信息的统一收集，整理和分析

（基于行的过滤）正则表达式的三剑客

文本查看，grep过滤检索，Webmin管理套件中查看

awk，sed等文本过滤，格式化编辑工具

Wedalizer，Awstats等专用日志分析工具

日志管理策略

及时作好备份和归档

延长日志保存期限

控制日志访问权限

日志中有可能会包含各类敏感信息，账号，命令等

集中管理日志

将服务器的日志文件发到统一的日志文件服务器

便于日志信息的统一收集，整理和分析

杜绝日志信息的意外丢失，恶意篡改或删除