linux 日誌管理

• 2019 年 10 月 3 日
• 筆記

系統日誌存放的位置

linux中的日誌文件存儲在 /var/log*

不同模組的日誌會記錄到不同的模組中去

查看內核日誌
tail -f /var/log/message

[root@ecs-t6-large-2-linux-20190824103606 ~]# tail -f /var/log/messages  Sep 15 07:15:30 ecs-t6-large-2-linux-20190824103606 nm-dispatcher: req:1 'dhcp4-change' [eth0]: new request (2 scripts)  Sep 15 07:15:30 ecs-t6-large-2-linux-20190824103606 nm-dispatcher: req:1 'dhcp4-change' [eth0]: start running ordered scripts...  Sep 15 08:00:26 ecs-t6-large-2-linux-20190824103606 systemd: Starting Docker Cleanup...  Sep 15 08:00:26 ecs-t6-large-2-linux-20190824103606 systemd: Started Docker Cleanup.  Sep 15 08:01:01 ecs-t6-large-2-linux-20190824103606 systemd: Started Session 312 of user root.  Sep 15 09:00:04 ecs-t6-large-2-linux-20190824103606 systemd: Starting Docker Cleanup...  Sep 15 09:00:04 ecs-t6-large-2-linux-20190824103606 systemd: Started Docker Cleanup.  Sep 15 09:01:01 ecs-t6-large-2-linux-20190824103606 systemd: Started Session 313 of user root.  Sep 15 09:03:59 ecs-t6-large-2-linux-20190824103606 systemd: Started Session 314 of user root.  Sep 15 09:03:59 ecs-t6-large-2-linux-20190824103606 systemd-logind: New session 314 of user root.

日誌記錄的一般格式如下

Sep 15 09:03:59 ecs-t6-large-2-linux-20190824103606 systemd-logind: New session 314 of user root.      時間            主機名                          子系統名            消息欄位

日誌的分類

內核及系統日誌

系統日誌由 rsyslog統一管理,日誌的格式也基本相同

查看系統上rsyslog的版本

[root@ecs-t6-large-2-linux-20190824103606 ~]# rpm -q rsyslog  rsyslog-8.24.0-34.el7.x86_64

查看rsyslog的位置

[root@ecs-t6-large-2-linux-20190824103606 ~]# whereis rsyslog  rsyslog: /usr/lib64/rsyslog /etc/rsyslog.d /etc/rsyslog.conf

• 主程式 /etc/rsyslog.d
• 配置文件 /etc/rsyslog.conf

配置文件中可以配置日誌的級別/記錄方式等

/etc/rsyslog.conf的配置規則

查看配置文件 cat /etc/rsyslog.conf 然後截取RULE部分

#### RULES ####  ##########  日誌設備.日誌級別  ##################          #########  消息發送位置  ###############  # Log all kernel messages to the console.  # Logging much else clutters up the screen.  #kern.*                                                 /dev/console    # Log anything (except mail) of level info or higher.  # Don't log private authentication messages!  *.info;mail.none;authpriv.none;cron.none                /var/log/messages    # The authpriv file has restricted access.  authpriv.*                                              /var/log/secure    # Log all the mail messages in one place.  mail.*                                                  -/var/log/maillog      # Log cron stuff  cron.*                                                  /var/log/cron    # Everybody gets emergency messages  *.emerg                                                 :omusrmsg:*    # Save news errors of level crit and higher in a special file.  uucp,news.crit                                          /var/log/spooler    # Save boot messages also to boot.log  local7.*                                                /var/log/boot.log  local2.info                     /tmp/test.log

記錄日誌時,會從上到下讀取配置資訊,只要匹配上就記錄資訊,每命中一個配置,就記錄一下

日誌設備

用戶可以使用local 1~7 自定義設置的設備,及其輸出方式

# 訂製 , info級別以上的local2 日誌,全部記錄到  /tmp/test.log  local2.info                                              /tmp/test.log

修改了日誌文件需要重啟

systemctl restart rsyslog

如果依然無效, vim /etc/selinux/config,將 selinux = disable ,然後重啟

九種日誌級別,自上而下級別由低到高

自下而上,資訊記錄的越來越少

三種連接符號

日誌的處理方式

用戶日誌

記錄了系統上用戶登錄/登出的相關資訊

/var/log 中存放的是系統上各式各樣的日誌文件, text類型的可以直接查看, 還有一些
是data類型的文件,這種文件是被系統上的命令使用的文件, 如 w who 命令

[root@ecs-t6-large-2-linux-20190824103606 ~]# file /var/log/utmp  /var/log/utmp: cannot open (No such file or directory)  [root@ecs-t6-large-2-linux-20190824103606 ~]# file /var/log/wtmp  /var/log/wtmp: data  [root@ecs-t6-large-2-linux-20190824103606 ~]# file /var/log/secure  /var/log/secure: ASCII text  [root@ecs-t6-large-2-linux-20190824103606 ~]# file /var/log/lastlog  /var/log/lastlog: data

用戶登錄分析

who、w、users、last、lastlog

手動記錄日誌

命令: logger

作用: 從命令行直接向系統日誌文件寫入一行資訊

echo hahaha | logger -it "logger test" -p user.info    -p: 指定日誌設備.日誌規則  -it : 描述

查看

[root@ecs-t6-large-2-linux-20190824103606 ~]# tail -1 /var/log/messages  Sep 15 10:19:30 ecs-t6-large-2-linux-20190824103606 journal: logger test[25291]: hahaha  

程式日誌

由各種應用程式獨立控制的日誌,格式不統一

日誌轉儲 logrotate

系統上時時刻刻產生日誌,為了防止它填滿硬碟,需要對它進行轉儲,說白了,就是刪除舊的日誌文件,創建新的日誌文件

查看他的配置文件

cat /etc/logrotate.conf

[root@ecs-t6-large-2-linux-20190824103606 ~]# cat /etc/logrotate.conf  # see "man logrotate" for details  # 每周備份一次  mv  weekly    # 保留4份舊的日誌文件  rotate 4    # 每次 輪轉備份 時,都使用新創建的日誌文件  create    # 新創建的日誌文件,使用日期當後綴  dateext    # uncomment this if you want your log files compressed  #compress    # RPM packages drop log rotation information into this directory  # 載入當前這個主要配置文件的同時, 通過下面的這條配置載入了次要配置文件  include /etc/logrotate.d    # no packages own wtmp and btmp -- we'll rotate them here    # 文件的轉儲規則  /var/log/wtmp {      monthly      create 0664 root utmp      minsize 1M      rotate 1  }    /var/log/btmp {      missingok      monthly      create 0600 root utmp      rotate 1  }  

查看系統中次要的配置文件

[root@ecs-t6-large-2-linux-20190824103606 ~]# ll /etc/logrotate.d/  total 24  -rw-r--r--  1 root root  91 Apr 11  2018 bootlog  -rw-r--r--  1 root root 137 Sep 12 17:14 log_test  -rw-r--r--. 1 root root 136 Jun 10  2014 ppp  -rw-r--r--  1 root root 224 Oct 30  2018 syslog  -rw-r--r--  1 root root 100 Oct 31  2018 wpa_supplicant  -rw-r--r--  1 root root 103 Nov  5  2018 yum

可以仿照/etc/logrotate.d/ 配置自己的日誌文件的轉儲規則

看一下 syslog的規則如下:

[root@ecs-t6-large-2-linux-20190824103606 ~]# cat /etc/logrotate.d/syslog  /var/log/cron  /var/log/maillog  /var/log/messages  /var/log/secure  /var/log/spooler  {      missingok  # 日誌在轉儲期間,出現任何錯誤都ok      sharedscripts # sharedscripts的作用是在所有的日誌文件都輪轉完畢後統一執行一次腳本。如果沒有配置這條指令，那麼每個日誌文件輪轉完畢後都會執行一次腳本。      # 下面的執行的shell 腳本      postrotate      /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true      endscript  }

可以看到了,它裡面配置了 /var/log/ cron定時任務,maillog郵件,message消息,secure用戶登錄登出 及列印服務spooler的日誌轉儲規則

logrotate的參數