如何让你对linux系统日志了如指掌

系统管理员 2023-05-31 06:54 1阅读 0赞

## 1.系统日志管理 ##

（1）rsylsog：此服务是用来采集系统日志的,它自己不产生日志，只是起到采集日志的作用  
（2）rsyslog的管理：

<table> 
 <thead> 
  <tr> 
   <th>/var/log/messages</th> 
   <th>服务信息日志</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>/var/log/secure</td> 
   <td>系统登录日志</td> 
  </tr> 
  <tr> 
   <td>/var/log/cron</td> 
   <td>定时任务日志</td> 
  </tr> 
  <tr> 
   <td>/var/log/maillog</td> 
   <td>邮件日志</td> 
  </tr> 
  <tr> 
   <td>/var/log/boot.log</td> 
   <td>系统启动日志</td> 
  </tr> 
 </tbody> 
</table>

(3) 日志采集规则在 /var/log/file （文件名）中设置  
日志类型

<table> 
 <thead> 
  <tr> 
   <th>日志类型</th> 
   <th>来源</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>auth</td> 
   <td>pam产生的日志</td> 
  </tr> 
  <tr> 
   <td>authpriv</td> 
   <td>ssh, ftp等登录信息的验证信息</td> 
  </tr> 
  <tr> 
   <td>cron</td> 
   <td>时间任务相关</td> 
  </tr> 
  <tr> 
   <td>kern</td> 
   <td>内核</td> 
  </tr> 
  <tr> 
   <td>lpr</td> 
   <td>打印</td> 
  </tr> 
  <tr> 
   <td>mail</td> 
   <td>邮件</td> 
  </tr> 
  <tr> 
   <td>mark（syslog）-rsyslog</td> 
   <td>服务内部的信息，时间标时</td> 
  </tr> 
  <tr> 
   <td>news</td> 
   <td>新闻组</td> 
  </tr> 
  <tr> 
   <td>user</td> 
   <td>用户程序产生的相关信息</td> 
  </tr> 
  <tr> 
   <td>uucp</td> 
   <td>unix, to unix copy, unix 主机之间的相关通讯</td> 
  </tr> 
  <tr> 
   <td>local</td> 
   <td>自定义的日志设备</td> 
  </tr> 
 </tbody> 
</table>

日志级别

<table> 
 <thead> 
  <tr> 
   <th>debug</th> 
   <th>有调试信息的，日志信息最多</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>info</td> 
   <td>一般信息的日志，最常用的</td> 
  </tr> 
  <tr> 
   <td>notice</td> 
   <td>最具有重要性的普通条件的信息</td> 
  </tr> 
  <tr> 
   <td>warning</td> 
   <td>警告级别</td> 
  </tr> 
  <tr> 
   <td>err</td> 
   <td>错误级别，阻止某个功能或者模块不能正常工作的信息</td> 
  </tr> 
  <tr> 
   <td>crit</td> 
   <td>严重级别，阻止整个系统或者整个软件不能正常工作的信息</td> 
  </tr> 
  <tr> 
   <td>alert</td> 
   <td>需要立刻修改的信息</td> 
  </tr> 
  <tr> 
   <td>emerg</td> 
   <td>内核崩溃等严重信息</td> 
  </tr> 
  <tr> 
   <td>nonoe</td> 
   <td>什么都不记录</td> 
  </tr> 
 </tbody> 
</table>

## 2.日志的定向采集 ##

> 将什么类型，什么级别的日志放在哪个路径下，这就叫做日志的定向采集  
> 这样做也有利于日值的管理和查看

步骤一：编辑/etc/rsyslog.conf 文件，在日志采集文件里设置将任意类型任何级别的日志都存放在/var/log/westos1 下，如果westos1不存在，则会自动生成该文件 设置格式： \* .\* /var/log/westos1  
![在这里插入图片描述][20191023161338279.png]  
步骤二：重启服务  
![在这里插入图片描述][20191023161508799.png]  
测试  
步骤一：生成日志：systemctl restart sshd  
步骤二：查看日志：cat /var/log/westos1  
![在这里插入图片描述][2019102316231111.png]  
![在这里插入图片描述][20191023162424435.png]![在这里插入图片描述][201910231643403.png]  
注意： 从上到下，级别从从低到高，记录的信息越来越少  
详细的可以查看手册： man 3 syslog

## 3.日志的远程同步 ##

一台主机管理多台服务器日志的实验：  
步骤一：  
在日志发送方设置：  
（1）在发送方server主机中编辑/etc/rsyslog.conf 文件 ：  
（2）添加接受方ip  
![在这里插入图片描述][20191023164406987.png]  
(3) 重启服务 systemctl restart rsyslog ,

![在这里插入图片描述][20191023164618972.png]  
步骤二：  
在日志的接收方设置：  
（1）在接收方desktop 主机中编辑文件 /etc/rsyslog.conf  
（2）将这个文件中的第15行和16行的注释去掉  
![在这里插入图片描述][2019102316502776.png]  
可用该命令在接收方查看UDP服务是否开启：

netstat  -antlupe  |  grep rsyslog

![在这里插入图片描述][2019102317151242.png]

(3) 重启服务：systemctl restart rsyslog  
(4)关闭防火墙 ：systemctl stop firewalld  
![在这里插入图片描述][20191023165357572.png]  
步骤三： 测试  
（1）在发送方和接收方清空日志文件  
命令格式： > /var/log/messages  
![在这里插入图片描述][20191023165718309.png]  
![在这里插入图片描述][20191023165731480.png]  
（2）在日志发送方输入：

logger  test              #产生日志
    cat    /var/log/messages  ##查看日志

![在这里插入图片描述][20191023170019939.png]  
（3）在日志接收方查看远程主机发送过来的日志：  
在desktop 主机中输入：cat /var/log/messages  
![在这里插入图片描述][20191023170539895.png]  
可见日志同步成功

## 4.日志采集格式的设定 ##

注意：此实验是在远程同步的基础上进行的

> 一般我们采集的日志格式如下：  
> cat /var/log/messages

![在这里插入图片描述][20191023172457206.png]

> 目的：在接收日志方进行日志采集格式的设置,方便查看日志发送方的ip地址,日志的内容,时间等

具体操作步骤：  
步骤一： 在接收日志方(client),进行日志采集格式的设置

（1）编辑日志配置文件 vim  /etc/rsyslog_conf 
    （2）在rules  （规则下）设置日志采集规则
        格式：*.info;mail.none;authpriv.none;cron.none           /var/log/messages;WESTOS
    （3）在“GLOBAL DIRECTIVES“全局指令下添加：
         $template WESTOS, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"
                             显示日志时间    显示主机ip    日志记录目标 日志内容
     (4)重启服务：  systemctl restart rsyslog.service

在rules （规则下）设置日志采集规则![在这里插入图片描述][20191023185818425.png]  
在“GLOBAL DIRECTIVES“全局指令下添加  
![在这里插入图片描述][20191023185931630.png]  
步骤二： 在日志接收方查看日志格式  
cat /var/log/messages  
![在这里插入图片描述][20191023190607741.png]  
修改系统默认日志采集格式为WESTOS的步骤  
步骤一：继续编辑文件 /etc/rsyslog.conf 文件  
（1）将第29行修改为：  
![在这里插入图片描述][20191023191241466.png](2)在54行，取消之前添加的保存文件格式WESTOS，改为默认（防止之前的实验影响）  
![在这里插入图片描述][20191023192241671.png]

（3）重启服务 ：systemctl restart rsyslog.service  
步骤二： 查看日志格式  
cat /var/log/message 或者查看 cat /var/log/secure （但需要别的主机登录此台修改日志格式的电脑）  
![在这里插入图片描述][20191023192531469.png]

## 5.设置系统时间 ##

采用 timedatectl 命令

<table> 
 <thead> 
  <tr> 
   <th>timedatectl</th> 
   <th>管理系统时间</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>timedatectl status（可加可不加）</td> 
   <td>显示当前时间</td> 
  </tr> 
  <tr> 
   <td>timedatectl set-time</td> 
   <td>设定当前时间</td> 
  </tr> 
  <tr> 
   <td>timedatectl set-timezone</td> 
   <td>设定当前时区</td> 
  </tr> 
  <tr> 
   <td>timedatectl set-local-rtc 0或者1</td> 
   <td>设定是否使用utc时间</td> 
  </tr> 
  <tr> 
   <td>timedatectl list-timezones</td> 
   <td>查看支持的所有时区</td> 
  </tr> 
 </tbody> 
</table>

（1）timedatectl 管理系统时间

<table> 
 <thead> 
  <tr> 
   <th>Local time</th> 
   <th>本地时间</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>Universe time</td> 
   <td>国际时间</td> 
  </tr> 
  <tr> 
   <td>RTC time</td> 
   <td>硬件时间</td> 
  </tr> 
  <tr> 
   <td>Timezone</td> 
   <td>时区</td> 
  </tr> 
 </tbody> 
</table>

eg：更改时区  
![在这里插入图片描述][20191023210003148.png]

## 6.时间同步服务 ##

> 如果日志发送方和接收方的时间不一致会很麻烦，所以需要将客户端域服务端的时间同步

主机时间同步服务名称：chronyd  
步骤一：  
在服务端编辑文件：vim /etc/chrony.conf

修改：
    22行：allow 172.25.81.0/24   #允许哪些主机客户端来同步本机时间
    29行：local stratum 10      本机不同步任何主机的时间，本机作为时间源
    重启服务：systemctl  restart  chronyd

![在这里插入图片描述][20191023205019544.png]  
步骤二：在客户端：vim /etc/chrony.conf

server 172.25.81.200(服务端ip)，iburst（删除起他的）  本机立即同步200主机的时间
    systemctl  restart  chronyd

![在这里插入图片描述][20191023204904664.png]步骤三：测试

1.在客户端输入:chronyc  sources -v
    2.出现* ip 就说明好了

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70]步骤四：在客户端和服务端均输入date命令，查看时间是否同步，可看到时间仅差几秒  
![在这里插入图片描述][20191023205609649.png]  
![在这里插入图片描述][20191023205629451.png]

## 7.journal 查看日志 ##

rsyslog 采集日志，从磁盘读取，速度慢，reboot重启系统之后，系统之前的日志会被清除  
jounral 不采集日志，直接从内核查看日志，速度更快，reboot重启系统之后之前的日志会被清除  
（1）journalctl 日志查看工具

<table> 
 <thead> 
  <tr> 
   <th>journalctl -n 3</th> 
   <th>查看最近3条日志</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>journalctl -p err</td> 
   <td>查看错误日志</td> 
  </tr> 
  <tr> 
   <td>journalctl -o verbose</td> 
   <td>查看日志的详细参数</td> 
  </tr> 
  <tr> 
   <td>journactl --since</td> 
   <td>查看从什么时间开始的日志</td> 
  </tr> 
  <tr> 
   <td>journalctl --until</td> 
   <td>查看到什么时间为止的日志</td> 
  </tr> 
 </tbody> 
</table>

eg:

journalctl -n 3 \#\# 查看最近3条日![在这里插入图片描述][20191023211558335.png]  
journalctl --since “2019-10-23 05:0:0” \#查看从什么时间开始的日志![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 1]  
journalctl --until “2019-10-23 05:10:00”  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 2]  
2.如何让journctl采集日志  
在硬盘创建一个可以存储journalctl 命令采集的日志

> 如何使用systemd-journal保存系统日志  
> 默认systemd-journald是不保存系统日志到硬盘的，关机后只能看到本次开机之后的日志，关机之前是无法看到的

操作步骤：  
（1）mkdir /var/log/journal

> 在硬盘上创建一个可以存储journalctl 命令采集的日志文件

（2）chgrp systemd-journal /var/log/journal/

> 系统初始化程序控制这个日志，改这个文件的所有组为systemd-journal  
> 这样系统就可以识别这个文件，把这个文件放入这个组，让组控制这个文件  
> ![在这里插入图片描述][2019102321572789.png]  
> （3）chmod g+s /var/log/journal  
> 改这个文件的权限，使这个文件的systemd-journal 组都能查看这个日志

（4）ls -ld /var/log/journal \#查看文件属性  
![在这里插入图片描述][20191023215950560.png]  
（5）ps aux | grep journal \#查看进程  
![在这里插入图片描述][20191023220049644.png]  
（6）killall -1 /usr/lib/systemd/systemd-journald （进程重新加载配置，不会关闭进程）  
（7）date 查看系统时间  
（8）ls /var/log/journal  
![在这里插入图片描述][20191023220147230.png]  
（9）bootctl 查看机械码  
![在这里插入图片描述][20191023220242477.png]  
（10）重启  
（11）journalctl （可以看到关机之前的日志了，就是采集日志）  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 3]

[20191023161338279.png]: /images/20230531/4292f2d70c6b44c2b5f6e06ff8d914f1.png
[20191023161508799.png]: /images/20230531/165fb670b07343118f959979394c45ce.png
[2019102316231111.png]: /images/20230531/344ca64d54fc48d697c3c98a1a47e84e.png
[20191023162424435.png]: https://img-blog.csdnimg.cn/20191023162424435.png
[201910231643403.png]: /images/20230531/c13027c3b1894424843e2d0e72cc4a0c.png
[20191023164406987.png]: /images/20230531/131a73a39466448da1e9fb6551511de1.png
[20191023164618972.png]: /images/20230531/311c1cc2705d4694a66a2c2ca6670829.png
[2019102316502776.png]: /images/20230531/5ce55e4d9d2d47e5b32c2d4e94a89595.png
[2019102317151242.png]: /images/20230531/68e1aa3c1c4d4cfba5cbee12e177fd9d.png
[20191023165357572.png]: /images/20230531/c7ac9eff360b48d88fabae2eaeb14304.png
[20191023165718309.png]: /images/20230531/fdb8c13525104996af82c2794e19861f.png
[20191023165731480.png]: /images/20230531/f7579b36a12c495eb4bffad33e7d5872.png
[20191023170019939.png]: /images/20230531/df2c9141e17c4708b90500c27d1f37ff.png
[20191023170539895.png]: /images/20230531/08824d01d9284cdbb21d14871d86d794.png
[20191023172457206.png]: /images/20230531/4003f171507c4b1eb4f0b66bc9ae11b8.png
[20191023185818425.png]: /images/20230531/00de66672db9400aa26fc91dca44594e.png
[20191023185931630.png]: /images/20230531/12357e6422264dceaae4ad8c901340fd.png
[20191023190607741.png]: /images/20230531/cc5f6ef3cc184317905a38693f5cf05f.png
[20191023191241466.png]: /images/20230531/4c63047cfde34ab5a4ace76a9d38e3c6.png
[20191023192241671.png]: /images/20230531/6e292c4e00db408eab08c62aac7bed52.png
[20191023192531469.png]: /images/20230531/76aa3b88c48f4a1abf379b3c3e434cf5.png
[20191023210003148.png]: /images/20230531/2b6c71b3174848ac90d1badc1786bb5d.png
[20191023205019544.png]: /images/20230531/8faafc94c07941d39c1fa7f0af1ca87a.png
[20191023204904664.png]: /images/20230531/7a5f715766bf4f3e96e7b2cbb0bf295e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70]: /images/20230531/fb1f299bf4af4042907689a17293af18.png
[20191023205609649.png]: /images/20230531/b3f9c1ffee5f4ef599897517ac13fcc9.png
[20191023205629451.png]: /images/20230531/52054a86b93f4aeab4b4b7212cd7ea5a.png
[20191023211558335.png]: /images/20230531/306aed3f63eb4acaae5beafdac096ba4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 1]: /images/20230531/22cdc2bd87454330871459741b57b3f2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 2]: /images/20230531/1eeeb2d5cfd4423784f14dbb9974d654.png
[2019102321572789.png]: /images/20230531/0faa33d4fbc943318580e1f2723d5282.png
[20191023215950560.png]: /images/20230531/e8c549e380c6473cafa2105081717af5.png
[20191023220049644.png]: /images/20230531/f660996f37574277a72c2085859fdff2.png
[20191023220147230.png]: /images/20230531/73ce5eb5c2454d0f889f6a46950d16a3.png
[20191023220242477.png]: /images/20230531/1d85c084015a4522b4de30904c3a3e06.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NDE3Njc3_size_16_color_FFFFFF_t_70 3]: /images/20230531/46ce403b94484d2db09e9f144512ffcd.png