linux系统日志管理

一. 日志系统介绍

      在日常的使用过程中，日志系统可以记录当前系统中发生的各种记录，如系统登陆来源与时间，每次启动与关闭情况，系统错误等。日志主要可以用来进行系统审计，监测追踪，分析统计。

   linux系统日志文件一般存放在 /var/log 下，且需要root权限才可以查看。

二.日志配置文件

          日志配置文件为 /etc/rsyslog.conf,该配置文件文件定义了系统中需要监听的事件和日志文件保存位置。

  eg：

          此条文件由前面的设备和后面的操作动作组成。设备由由两字段组成，前段是一项服务，后段是一项优先级，中间由小数点"."隔开。此段文件表示将authpriv类型的所有级别的日志放入 /var/log/secure 文件中。

1.日志类型

  auth                   由pam_pwdb 报告的认证活动

 authpriv               包括特权信息如用户名在内的认证活动

cron                    与cron 和at 有关的计划任务信息

daemon             与inetd和守护进程有关的后台进程信息

kern                     内核信息

lpr                        打印信息

mail                     邮件信息

mark                    syslog 内部功能

news                   来自新闻服务器的消息

user                     用户程序想关系信息

local 1～7            由自定义程序使用，应可以做个性化配置

 2.日志级别

 *                      所有级别，除了none

debug            有调式信息，信息最多，不包含函数条件或问题的其他信息

info                  一般信息，使用较多

notice             具有重要性的普遍条件

warning         预警信息

err                 错误信息，阻止某个模块公作不能正常的信息

crit                 严重信息，是整个软件或系统不能正常工作

alert                需要立即修改的信息

emerg            内核崩溃等严重信息

none              什么都不记录

由上而下，信息越来越少

3.日志格式
  日志有四列：时间产生时间，时间产生主机名，程序名，事件信息。

查看日志

/etc/rsyslog.conf      配置文件内容

4.配置文件修改

日志配置文件可以用vim在指定文件中进行修改。

（1）添加一条新日志：在不同设备之间中间需要以“；”分号隔开。

eg：【root@localhost Desktop】# vim /etc/rsyslog.conf

添加的文件表示将所有notice级别的日志 放入桌面的notice文件

（2） 修改日志格式

“ ”内的内容分别代表显示日志时间， 显示主机ip，  记录目标 ，日志内容和换行。

三.日志传输

（1）将日志同步到其他主机

eg：将所有日志信息发送到 172.25.254.107，@表示以UDP协议发送。（@@表示以以TCP协议发送）

发送方打开此文件添加信息后重起rsyslog服务。

接受方需要修改 /etc /rsyslog.conf 文件。 关闭防火墙，并重起 rsyslog服务，如果发送方以UDP协议发送，接受方也需要爱修改相对应模块。

vim /etc/rsyslog.conf

logger o 测试

 （2） 同步日期

  进行日期同步的配置文件在 /etc/chrony.conf 中。打开vim进行编辑

  服务端：允许 172.25.254.107 以本机作为时间源。且本机不同不其他主机时间，保存后重起服务（systemctl restart chronyd）。

客户端：设置本机同步 177.25.254.177这台主机的时间。

chronyc sources -v 测试

时间同步成功。

时间设方法

 timedatectl                                                            显示时间信息

timedatectl status                                                 显示当前时间信息

set-time                                                                   设置当前时间

list-timezone                                                           列出时区

set-timezone                                                          设置时区

timedatectl set-timezone  Asia/Shanghai       设定时间所属区

  查看时间当前时间信息
  

设置当前时间为东八区

四.查看日志

    journalctl                                        查看所有日志（在重起时候清空）
    journalctl  -n 5                                 查看最近5行日志
    journalctl  --since 09：00 --until 10：00  查看九点到时点的日志信息
                           -p  err                        查看错误日志信息
   journalctl -o verbose                       查看日志的详细信息

journlctl  _PID=xxxx  _COMM=xxxx     查看指定日志的信息

查看近五条日志

查看错误日志