系统日志

r囧r小猫 2022-06-07 08:24 373阅读 0赞

# 系统日志 #

### 1.系统日志默认分类 ###

/var/log/messages   ‘’##系统服务及日志，包括服务的信息，报错等等
    /var/log/secure     ‘’‘##系统认证信息日志
    /var/log/maillog    ‘’''##系统邮件服务信息
    /var/log/cron       ‘’‘’##系统定时任务信息
    /var/log/boot.log   ‘’##系统启动信息

### 2.日志管理服务rsyslog ###

#### 2.1 rsyslog ####

负责采集日志和分类存放日志

#### 2.2 rsyslog日志分类 ####

vim /etc/rsyslog.conf   ##主配置文件
    服务.日志级别     /存放文件
    \*.*        /var/log/westos

![这里写图片描述][SouthEast]

systemctl restart rsyslog ##重启配置文件

#### 2.3 格式 ####

日志设备(类型).(连接符号)日志级别 日志处理方式(action)

#### 2.4 日志设备(可以理解为日志类型): ####

auth —————————\#\#pam产生的日志  
authpriv ———————-\#\#ssh,ftp等登录信息的验证信息  
cron —————————\#\#时间任务相关  
kern —————————\#\#内核  
lpr ——————————\#\#打印  
mail —————————–\#\#邮件  
mark(syslog)–rsyslog——\#\#服务内部的信息,时间标识  
news —————————\#\#新闻组  
user —————————-\#\#用户程序产生的相关信息  
uucp—————————\#\#unix to unix copy, unix主机之间相关的通讯  
local 1~7 ———————\#\#自定义的日志设备

#### 2.5 日志级别 ####

debug ———-\#\#有调式信息的，日志信息最多  
info ————- \#\#般信息的日志，最常用  
notice ———–\#\#最具有重要性的普通条件的信息  
warning ———\#\#警告级别  
err —————-\#\#错误级别，阻止某个功能或者模块不能正常工作的信息  
crit —————\#\#严重级别，阻止整个系统或者整个软件不能正常工作的信息  
alert ————–\#\#需要立刻修改的信息  
emerg ———–\#\#内核崩溃等严重信息  
none ————-\#\#什么都不记录

注意：从上到下，级别从低到高，记录的信息越来越少  
详细的可以查看手册: man 3 syslog

#### 2.6 连接符号 ####

.xxx: 表示大于等于xxx级别的信息
    .=xxx：表示等于xxx级别的信息
    .!xxx：表示在xxx之外的等级的信息

#### 2.7 实例 ####

1.  记录到普通文件或设备文件:

\*.\* /var/log/file.log \# 绝对路径  
\*.\* /dev/pts/0  
![这里写图片描述][SouthEast 1]  
测试: logger -p local3.info ‘KadeFor is testing the rsyslog and logger ‘ logger 命令用于产生日志  
![这里写图片描述][SouthEast 2]  
2. 发送给用户(需要在线才能收到)  
\*.\* root  
\*.\* root,kadefor,up01 \# 使用,号分隔多个用户  
\*.\* \* \# \*号表示所有在线用户

![这里写图片描述][SouthEast 3]

![这里写图片描述][SouthEast 4]  
3. 忽略,丢弃  
local3.\* ~ \# 忽略所有local3类型的所有级别的日志

1.  执行脚本::  
    local3.\* ^/tmp/a.sh \# ^号后跟可执行脚本或程序的绝对路径  
    \# 日志内容可以作为脚本的第一个参数.  
    \# 可用来触发报警

#### 2.8 日志同步 ####

systemctl stop firewalld \#\#关闭两台主机的火墙

配置日志发送方  
\*.\* @172.25.0.11 \#\#通过udp协议把日志发送到11主机，@udp，@@tcp

配置日志接受方  
15 $ModLoad imudp \#\#日志接收插件  
16 $UDPServerRun 514 \#\#日志接收插件使用端口  
![这里写图片描述][SouthEast 5]  
![这里写图片描述][SouthEast 6]

#### \*图中左边为日志发送方，右边为日志接收方 ####

netstat -anulpe | grep rsyslog  
udp 0 0 0.0.0.0:514 0.0.0.0:\* 0 122073 32654/rsyslogd  
udp6 0 0 :::514 :::\* 0 122074 32654/rsyslogd  
\-a \#\#all  
\-n \#\#不做解析  
\-t \#\#tcp  
\-u \#\#udp  
\-p \#\#进程名称  
\-e \#\#扩展信息  
![这里写图片描述][SouthEast 7]  
测试  
> /var/log/messages \#\#两边都作  
logger test message \#\#日志发送方

tail -f /var/log/message \#\#日志接收方

#### 2.9 日志采集格式 ####

$template WESTOS, “%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\\n”

%timegenerated%——–\#\#显示日志时间  
%FROMHOST-IP%——–\#\#显示主机ip  
%syslogtag% ————-\#\#日志记录目标  
%msg%———————\#\#日志内容  
\\n—————————–\#\#换行

$ActionfileDefaultTemplate WESTOS

\*.info;mail.none;authpriv.none;cron.none ————/var/log/messages;WESTOS  
![这里写图片描述][SouthEast 8]  
![这里写图片描述][SouthEast 9]

### 3.日志分析工具journal ###

systemd-journald —–\#\#进程名称

journalctl —————\#\#直接执行，浏览系统日志  
![这里写图片描述][SouthEast 10]  
\-n 3 ————————\#\#显示最新3条  
\-p err———————–\#\#显示报错  
\-f —————————-\#\#监控日志  
–since –until————–\#\# –since “\[YYYY-MM-DD\] \[hh:mm:ss\]” 从什么时间到什么时间的日志  
\-o verbose —————\#\#显示日志能够使用的详细进程参数  
\#\#\_SYSTEMD\_UNIT=sshd.service服务名称  
\#\#\_PID=1182————进程pid  
![这里写图片描述][SouthEast 11]

对systemd-journald管理  
默认情况下此程序会忽略重启前的日志信息，如不忽略：  
mkdir /var/log/journal  
chown root:systemd-journal /var/log/journal  
chmod 2755 /var/log/journal  
killall -1 systemd-journald  
ls /var/log/journal/4513ad59a3b442ffa4b7ea88343fa55f  
system.journal user-1000.journal

### 4.时间同步 ###

#### 4.1 服务端 ####

yum install chrony -y \#\#安装服务

vim /etc/chrony.conf \#\#主配置文件  
21 \# Allow NTP client access from local network.  
22 allow 172.25.0.0/24 \#\#允许谁去同步我的时间  
27 \# Serve time even if not synchronized to any NTP server.  
28 local stratum 10 \#\#不去同步任何人的时间，时间同步服务器级别

systemctl restart chronyd  
systemctl stop firewalld  
![这里写图片描述][SouthEast 12]

![这里写图片描述][SouthEast 13]

#### 4.2 客户端 ####

vim /etc/chrony.conf  
3 server 0.rhel.pool.ntp.org iburst  
4 server 1.rhel.pool.ntp.org iburst====> server ntpserverip iburst  
5 server 2.rhel.pool.ntp.org iburst====>  
6 server 3.rhel.pool.ntp.org iburst

systemctl restart chronyd  
![这里写图片描述][SouthEast 14]  
配置文件中的内容：  
![这里写图片描述][SouthEast 15]  
在客户端测试：

[root@localhost ~]# chronyc sources -v
    210 Number of sources = 1
    
      .-- Source mode  '^' = server, '=' = peer, '#' = local clock.
     / .- Source state '*' = current synced, '+' = combined , '-' = not combined,
    | /   '?' = unreachable, 'x' = time may be in error, '~' = time too variable.
    ||                                                 .- xxxx [ yyyy ] +/- zzzz
    ||                                                /   xxxx = adjusted offset,
    ||         Log2(Polling interval) -.             |    yyyy = measured offset,
    ||                                  \            |    zzzz = estimated error.
    ||                                   |           |                         
    
    ^* 172.25.0.11                  10   6   377    41   +170us[ +201us] +/-  191us

![这里写图片描述][SouthEast 16]

注意：若是在时间同步设置完成后将客户端或者服务端的时间做了更改，还想要时间同步，此时应该将客户端和服务端的配置文件都重新restart一下，这样时间就会又同步了。

### 5.timedatectl命令 ###

timedatectl status \#\#显示当前时间信息  
”””””” set-time \#\#设定当前时间  
”””””” set-timezone \#\#设定当前时区  
”””””” set-local-rtc 0|1 \#\#设定是否使用utc时间  
![这里写图片描述][SouthEast 17]

[SouthEast]: /images/20220607/6032af8ee67146138649f9c3570dc014.png
[SouthEast 1]: /images/20220607/2bb41137d36d4a16ac0798f513e566b3.png
[SouthEast 2]: /images/20220607/d1973623b7634c6ca46a5e219188b723.png
[SouthEast 3]: /images/20220607/1fb133e8d6f0459ea50a32f127d8ebc2.png
[SouthEast 4]: /images/20220607/5fc2cdcffaac4ee29575f63738bc24eb.png
[SouthEast 5]: /images/20220607/b741aaa4f1fa46bb9ef322580781a8a9.png
[SouthEast 6]: /images/20220607/a5f1d15aaf964e9299cbc4d71c7776c7.png
[SouthEast 7]: /images/20220607/be2c26ba4b19453e9f1ec7523df4e9b1.png
[SouthEast 8]: /images/20220607/764db3ae6d334d288dc039f1b6c8c5f2.png
[SouthEast 9]: /images/20220607/02727c319aa840d69b78cac08b8dfef4.png
[SouthEast 10]: /images/20220607/e93ec7baa58c446c92ce1aafe43aa431.png
[SouthEast 11]: /images/20220607/45d8a97d1a0b45a7b52a77f5b29b8abc.png
[SouthEast 12]: /images/20220607/ee474352d054476093701c169697f05f.png
[SouthEast 13]: /images/20220607/c9ce281a96454849a92d1cab7ac55952.png
[SouthEast 14]: /images/20220607/415982077099455fbc9dffb4db41b904.png
[SouthEast 15]: /images/20220607/8042c5b6a1ea47f68c140e2653865686.png
[SouthEast 16]: /images/20220607/fbad96aa2f2a4ca59694ace2ccdbccb1.png
[SouthEast 17]: /images/20220607/4d79852405104caea67005976dcf4649.png