Linux日志管理及时间同步

素颜马尾好姑娘i 2022-03-25 05:42 398阅读 0赞

## Linux日志管理及时间同步 ##

日志是可以直接看出系统中的错误，日志在内存里，由服务决定

\#\#一、查看系统中的日志rsyslog

1.rsyslog  
此服务是用来采集系统日志的。其不产生日志，只是起到采集作用。

2.rsyslog的管理  
\#系统常用日志  
/var/log/messages ----所有日志级别的常规信息（不包含邮件，服务认证，定时任务）  
/var/log/secure --------- 系统登陆日志  
/var/log/maillog --------- 邮件日志  
/var/log/crog -------------定时任务日志  
/var/log/secure ----------服务认证日志  
/var/log/boot.log --------系统启动日志  
/var/log/cron -------------定时任务日志

\#日志类型

<table> 
 <thead> 
  <tr> 
   <th>auth</th> 
   <th>用户登陆日志（pam生产日志）</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>authpriv</td> 
   <td>服务认证日志（sshd认证）</td> 
  </tr> 
  <tr> 
   <td>kern</td> 
   <td>内核日志</td> 
  </tr> 
  <tr> 
   <td>lpr</td> 
   <td>打印机日志</td> 
  </tr> 
  <tr> 
   <td>cron</td> 
   <td>定时任务日志</td> 
  </tr> 
  <tr> 
   <td>mail</td> 
   <td>邮件日志</td> 
  </tr> 
  <tr> 
   <td>news</td> 
   <td>新闻</td> 
  </tr> 
  <tr> 
   <td>user</td> 
   <td>用户相关程序日志</td> 
  </tr> 
  <tr> 
   <td>local</td> 
   <td>用户自定义日志</td> 
  </tr> 
 </tbody> 
</table>

\#日志级别

<table> 
 <thead> 
  <tr> 
   <th>debug</th> 
   <th>系统调试信息</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>info</td> 
   <td>常规信息</td> 
  </tr> 
  <tr> 
   <td>notice</td> 
   <td>最具有重要性的普通条件的信息</td> 
  </tr> 
  <tr> 
   <td>warning</td> 
   <td>警告信息</td> 
  </tr> 
  <tr> 
   <td>err</td> 
   <td>报错（级别低，阻止了某个功能不能正常工作）</td> 
  </tr> 
  <tr> 
   <td>crit</td> 
   <td>报错（级别高，组织整个软件或整个系统不能正常工作）</td> 
  </tr> 
  <tr> 
   <td>alert</td> 
   <td>需要立即修改信息</td> 
  </tr> 
  <tr> 
   <td>emerg</td> 
   <td>内核崩溃</td> 
  </tr> 
  <tr> 
   <td>none</td> 
   <td>不采集任何日志信息</td> 
  </tr> 
 </tbody> 
</table>

注意：从上到下，级别从低到高，记录的信息越来越少

\#\#二、日志的远程同步

做实验前要清空其它没有的数据，以防出错！

> /var/log/messages    #清空日志

>  /etc/rc.d/rc.local  #清空虚拟机一直产生的日志和脚本

日志的远程同步实验步骤：  
注意：  
1）这个实验中自定义发送方和接受方，只要自己能记住就可以，但是千万不能混乱，可以用“ifconfig”查看IP  
2）更改完配置文件后一定要“systemctl restart rsyslog.service”重启服务器，否则后面的操作毫无意义  
3）一定要在接收方关闭防火墙，否则会对外来发送方发送的日志进行屏蔽

（1）在日志发送方

vim  /etc/rsyslog.conf
      ##########################修改文件
        *.*     @172.25.254.200    ##"@"表示udp协议发送，“@@”表示tcp协议发送(将所有日志的所有调试信息发送到接收方地址)(172.25.254.200为日志接收方IP）
      ##########################
    systemctl  restart  rsyslog.service    ##重启rsyslog服务器
    systemctl  restart  sshd.service       ##重启后在接收方才可以看到日志

![在这里插入图片描述][20190118232241761.png]  
（2）在日志接收方

vim /etc/rsyslog.conf
      ##########################修改文件
      15  $ModLoad imudp                ##开启日志接收模块
      16  $UDPServerRun 514             ##开启接收端口
      #########################
      systemctl restart rsyslog.service ##重启rsyslog服务器

![在这里插入图片描述][20190118224623975.png]  
（3）在接收方关闭防火墙

systemctl stop firewalld      ##关闭防火墙 
    systemctl disable firewalld   ##关闭防火墙对接收的屏蔽
    systemctl status firewalld    ##查看防火墙状态

火墙为关闭状态  
![在这里插入图片描述][2019011822513347.png]  
(4)测试

1)在发送方和接收方都清空日志文件

>  /var/log/messages     ##清空日志

2)在日志的发送方

logger  hahaha                 ##建立日志
    cat  /var/log/messages    ##查看日志信息文件（看是否产生日志hahaha）

![在这里插入图片描述][20190118230618548.png]  
3）在日志的接收方查看

cat  /var/log/messages    ##查看日志信息文件（看是否接收到日志hahaha）

![在这里插入图片描述][20190118232624433.png]  
三、设定日志采集格式  
参数对应的含义：  
%timegenerated% ------ \#日志生成时间  
%FROMHOST-IP% ----- \#日志来源主机的IP  
%syslogtag% ------------- \#日志生成程序  
%msg% -------------------- \#日志内容  
\\n ----------------------------- \#换行

vim  /etc/rsyslog.conf
    ########################编辑文件
    $template 格式名称，“日志采集格式”          ##格式名称随便写
    
    *.info;mail.none;authpriv.none;cron.none   /var/log/messages;格式名称
    #########################

$template HAHAHA,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\\n" （在rules下写）  
示例：

vim  /etc/rsyslog.conf

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70]  
编辑完后一定要重启  
![在这里插入图片描述][2019011823523292.png]  
四、时间同步

1.时间同步服务  
服务名称：chronyd

1)在服务器端共享时间

vim /etc/chrony.conf
    ####################文件修改
    29 local stratum 10         ##开启时间共享功能,本机作为时间源（时间源的优先级为10）
                                ##这个参数开启后本机不去同步别人的时间到本机
    22 allow 172.25.254.0/24    ##允许那些客户端来访问本机共享的时间
    ####################
    systemctl restart chronyd   ##重启chronyd
    systemctl stop firewalld    ##关闭火墙

![在这里插入图片描述][20190119000606331.png]  
2)客户端

vim /etc/chrony.conf

删掉3，4，5，6行  
![在这里插入图片描述][20190119001249825.png]  
输入 server 172.25.254.72 iburst----\#\#server 服务端IP iburst(立即更改）

![在这里插入图片描述][20190119211356244.png]

systemctl restart chronyd       ##重启

3）测试，在客户端

[root@localhost ~]# date 11111111
    Mon Nov 11 11:11:00 EST 2019
    [root@localhost ~]#

[root@localhost ~]#chronyc sources -v

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 1]  
如果出现“^\* ”就说明试验成功，已经和172.25.254.72的时间同步

utc时间计算方式：世界时间+时区

2.修改时间------timedatectl 命令

timedatectl              ##显示当前时间信息

![在这里插入图片描述][2019011921230744.png]

timedatectl set-timezone "America/New_York"     ##更改时区为西五区

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 2]

timedatectl set-time "2012-12-12 12:12"       ## 设置时间为2012-12-12 12:12

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 3]

法1： timedatectl set-local-rtc 0/1       ##设置是否使用utc时间
         										  ##0--否，1--是
        法2： vim /etc/adjtime                    ##文件中LOCAL和UTC只能运行一个

timedatectl list-timezones                   ##查看支持的时区

五、查看内存中的日志

1.日志查看工具：journalctl

journalctl -n 4                ##查看最近四条日志
     journalctl -p err              ##查看错误日志 
     journalctl --since 11:00       
     journalctl --since 11:00 --until 11:00:30  ##查看11:00以后，11:00:30以前的日志
     journalctl -o verbose          ##查看日志的详细参数，例如：_PID=651  journalctl _PID=651
     journalctl  -f                 ##用户ctrl+c结束监控

2.如何使用systemd-journald保存系统日志到硬盘中

默认此程序只负责对日志进行查看而不对日志进行保存和采集  
那么关机后再开机，对日志进行查看，只能查看到开机后的日志  
系统之前的日志因为是保存在内存中的，所以关机后就被清空了，那么在开机是用journalctl看不到

使用下列命令可以保存系统日志（一般情况下不建议使用）

mkdir /var/log/journal
    chown  root.systemd-journal  /var/log/journal     ##更改文件所有人
    chmod  g+s /var/log/journal     ##在目录中创建的文件都自动归属到目录所在组
    killall -1 systemd-journald

journalctl -n 3            ##查看日志前三行内容
    date                       ##查看现在的时间
    reboot                     ##退出系统
    ssh root@172.25.254.200    ##再次连接
    journalctl                 ##查看日志

存入硬盘后可以看到关机前的内容，这是因为把这些日志都保存到了硬盘里。就算关机重启日志也不会清空  
使用systemd-journald保存系统日志（慎用，不会自动关，会占用内存越来越大）

[20190118232241761.png]: /images/20220325/000c36a9fac7463d8ccd123a1008e1b4.png
[20190118224623975.png]: /images/20220325/63cfa863d27c4ecaac410818cf946caa.png
[2019011822513347.png]: /images/20220325/d381b593884249628dc6c82963d1719e.png
[20190118230618548.png]: /images/20220325/76de3fba9def4639a38187a63d18bb9c.png
[20190118232624433.png]: /images/20220325/4c3152aaaf55443f9e3fcf92d16bd318.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70]: /images/20220325/b2ad19e595ea42c4b895cac8f71baf3f.png
[2019011823523292.png]: /images/20220325/c797a8e2e104467ea44751c7c3a41006.png
[20190119000606331.png]: /images/20220325/babebb1a5aaf4975bd0bb08f9895b22f.png
[20190119001249825.png]: /images/20220325/9f6042b849fa4667b9b68681ba10b938.png
[20190119211356244.png]: /images/20220325/d8d7c801474542bf9f9d0292d82a2694.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 1]: /images/20220325/5aceee0151fb4f2e95852897baba4c45.png
[2019011921230744.png]: /images/20220325/6c5f3402e48f4964af25682feb986df7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 2]: /images/20220325/4ec59209aef0488b9a70bf790faf38fc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NDI5NzMwMw_size_16_color_FFFFFF_t_70 3]: /images/20220325/c6635ab581134c359b8208b5100a39e5.png