文件系统与日志分析

目录

一、文件系统

inode和block概述

inode的内容

inode的大小

inode的特殊作用

inode和block的工作流程

目录文件

 硬盘分区后的结构

将xfs类型文件恢复

二、日志文件

日志保存位置

日志文件的分类

主要日志文件介绍

日志信息优先级别

日志文件的格式

三、实验：

将ssh服务的日志单独生成

1、服务的配置文件

2、日志系统的配置文件

3、重启服务

4、关闭防火墙和安全及机制

5、生成成功

共享传输日志信息

1、主机192.168.134.10 打开tcp的514端口

2、主机192.168.134.128 打开tcp的514端口

---

一、文件系统

inode和block概述

1、文件数据包括元信息与实际数据

2、文件存储在硬盘上，硬盘最小存储单位是“扇区”，每个扇区存储512字节

3、block (块)

。连续的八个扇区组成一个 block

。是文件存取的最小单位

4、inode(索引节点)

。中文译名为“索引节点”，也叫i节点

。用于存储文件元信息

inode的内容

1、inode包含文件的元信息

。文件的字节数

。文件拥有者的UserID（不包含文件名）

。文件的Group ID

。文件的读、写、执行权限

。文件的时间戳

2、用stat命令可以查看某个文件的inode信息

。示例: stat  aa.txt

3、目录文件的结构

·目录也是一种文件

·目录文件的结构

4、每个inode都有一个号码，操作系统用inode号码来识别不同的文件

5、Linux系统内部不使用文件名，而使用inode号码来识别文件

6、对于用户，文件名只是inode号码便于识别的别称

inode的大小

1、inode 表也会消耗硬盘空间

。每个inode的大小

。一般是128字节或256字节

2、格式化文件系统时确定inode的总数

3、使用df-i命令可以查看每个硬盘分区的inode总数和已经使用的数量

inode的特殊作用

1、由于inode号码与文件名分离，导致一些Unix/Linux系统具有以下的现象

。当文件名包含特殊字符，可能无法正常删除文件，直接删除inode，也可以删除文件

。移动或重命名文件时，只改变文件名，不影响inode号码

。打开一个文件后，系统通过inode号码来识别该文件，不再考虑文件名

inode和block的工作流程

linux读文件先读inode,读取文件在哪个block 再去block寻找内容
读取文件夹里的内容 先根据目录名搜寻inodetable中目录的inode 然后再根据文件名查找目录inode中具体文件的inode，然后根据文件的inode到达block查看具体内容。

目录文件

。目录也是一种文件
。每个inode都有一个号码，此操作系统用inode号码来识别不同的文件
。Linux系统内部不使用文件名，而使用inode号码来识别文件
。对于用户，文件名只是inode号码便于识别的别称

 硬盘分区后的结构

文件名 → 目录项 目录块
元信息 → inode inode表区块
数据 → block block数据区

将xfs类型文件恢复

1、CentOS 7 系统默认采用 xfs类型的文件，xfs 类型的文件可使用 xfsdump 与 xfsrestore 工具进行备份恢复。

常用的选项：

-f：指定备份文件目录

-L：指定标签 session label

-M：指定设备标签 media label

-s：备份单个文件，-s 后面不能直接跟路径

2、xfsdump使用限制:

1.只能备份已挂载的文件系统

2.必须使用root的权限才能操作

3.只能备份XFS文件系统

4.备份后的数据只能让xfsrestore解析

5.不能备份两个具有相同UUID的文件系统（可用 blkid命令查看）

二、日志文件

日志保存位置

。默认位于: /var/log目录下

日志的功能
● 用于记录系统、程序运行中发生的各种事件
● 通过阅读日志，有助于诊断和解决系统故障

日志文件的分类

1、内核及系统日志:

由系统服务rsyslog统一进行管理，日志格式基本相似·

2、用户日志：

记录系统用户登录及退出系统的相关信息·

3、程序日志：

由各种应用程序独立管理的日志文件，记录格式不统一

主要日志文件介绍

/var/log/secure：系统安全日志，文本格式，可以直接查看应周期性分析

/var/log/btmp：当前系统上，用户的失败尝试登录相关的日志信息，二进制格式，lastb命令进行查看

/var/log/wtmp：当前系统上，用户正常登录系统的相关日志信息，二进制格式，last命令可以查看

/var/log/lastlog: 每一个用户最近一次的登录信息，二进制格式，lastlog命令可以查看

/var/log/messages ：内核及公共消息日志

/var/log/cron ：计划任务日志

/var/log/maillog ：邮件系统日志

/var/log/anaconda : anaconda的日志操作系统安装时安装的软件信息

/var/log/dmesg：CentOS7 之前版本 系统引导过程日志

/var/log/boot.log 系统服务启动的相关信息，文本格式

日志信息优先级别

日志文件的格式

日志文件的格式包含以下 4 列：

1.事件产生的时间。

2.产生事件的服务器的主机名。

3.产生事件的服务名或程序名。

4.事件的具体信息。

三、实验：

将ssh服务的日志单独生成

ssh服务是远程连接，该应用程序没有独立的日志文件，涉及安全认证，存放在/var/log/secure  

 先测试一下，两台主机均关闭安全机制和防火墙，进行ssh  ip地址远程连接为了把日志文件独立成出来，一起来修改两个配置文件分别是：

1、服务的配置文件

 vim  /etc/ssh/sshd_config (修改ssh配置文件，32下一行添加自己的自定义)

32 #SyslogFacility  AUTHPRIV

33 SyslogFacility  local6

这里需要注意：rsyslog的自定义模块只有local 0-7，编号和其他字母都不可以！！

2、日志系统的配置文件

vim  /etc/rsyslog.conf (74行添加自己的文件位置)

 local7.*          /var/log/boot.log

local6.*           /data/ssh.log  (具体日志位置可以自定义，按照需求来)

3、重启服务

systemctl  restart  rsyslog.service  sshd (修改完配置文件，一定要重启两个服务)

4、关闭防火墙和安全及机制

systemctl stop firewalld && setenforce 0 （方便另一台进行连接）

5、生成成功

共享传输日志信息

开启日志的远程传输功能在192.168.134.10主机上备份192.168.134.128的基础日志

环境需求，需要两台主机关闭安全机制，防火墙，以及同时都打开tcp的514端口

1、主机192.168.134.10 打开tcp的514端口

vim /etc/rsyslog.conf  (打开19 20 行)

19 $ModLoad imtcp

20 $InputTCPServerRun 514

systemctl restart rsyslog.service (重启服务)

ss -ntap |grep 514 (查看514端口是否打开)

2、主机192.168.134.128 打开tcp的514端口

vim /etc/rsyslog.conf  (打开19 20 行)

19 $ModLoad imtcp

20 $InputTCPServerRun 514

54 *.info;mail.none;authpriv.none;cron.none     /var/log/messages

复制54行，生成55行                       改成ip地址

55 *.info;mail.none;authpriv.none;cron.none     @@192.168.134.10

                                          两个@ 代表使用 tcp  一个代表udp

如果修改 的是udp  @192.168.134.10

如果要想指定端口  @192.168.134.10：端口号

systemctl restart rsyslog.service (重启服务)

ss -ntap |grep 514  (查看514端口是否打开)

logger "this is test log from 192.168.91.101 2" （测试，写日志进去）

主机192.168.134.128查看自己的

tail -f /var/log/messages

验证查看

主机192.168.134.10

tail -f /var/log/messages