《Linux菜鸟入门》系统日志

系统日志

1.系统默认分类

 

 /var/log/messages  系统服务及日志包括服务的信息 报错

 /var/log/secure     系统认证信息日志

 /var/log/maillog    系统邮件服务信息

 /var/log/cron       系统定时任务信息

 /var/log/boot.log   系统启动信息

 

2.日志管理服务rsyslog。service

 

 1.rsyslog采集分类日志，不是生成

 2.rsyslog日志分类

   /etc/rsyslog.conf  主配置文件

  *.*                存放文件

  服务.日志级别        /var/log/westos

 

 systemctl restart rsyslog 在修改完配置文件后要重启rsyslog服务

 

3.日志分析工具journal

 

 systemd-journald   进程名称

 journalctl       直接执行，浏览系统日志

 journalctl -n 5  最新5条

 journalctl -p err  显示报错

 journalctl -f    监控日志生成  =tail -f

 journalctl --since ”toda【yyyyy-mm-dd】【hh：mm：ss】“ --until“”

 journalctl -o verbose 显示日志可以使用的详细进程参数

                      _SYSTEMD_UNIT=sshd.server 服务名称

                      _PID   进程PID

 

对systemd-journald的管理

 

   默认状况下此程序会忽略重启以前的日志信息，如不忽略 ，操做以下

mkdir /\u52a1\u540d\u79f0

130                                 ##_PID=1182\u8fdb\u7a0bpid

 

4.格式

  日志设备类型.日志级别    日志处理方式

  auth                 pam产生的日志

  authpriv             ssh。ftp 等登录信息的验证信息

cron                 时间任务相关

  kern                 内核

  lpr                  打印

  mail                 邮件

  mark(syslog)-rsyslog 服务内部的信息，时间标示

  news                 新闻组

  user                 用户程序产生的相关信息

  uucp                 unix to unix copy，unix主机之间相关的通信

  local 1~7            自定义的日志设备

 

5.日志级别

  

   debug     有调试信息的，日志信息最多

   info      通常信息的日志，最经常使用

   notice    最具备重要性的普通条件的信息

   warning   警告级别

   err       错误级别，阻止某个功能或者模块不能正常工做的信息

   crit      严重级别 ，阻止整个系统或者整个软件不能正常工做的信息

   alert     须要当即修改的信息

   emerg     内核崩溃等严重信息

   none      什么都不记录

 

   注意：从上到下，级别从高到底，记录的信息愈来愈少

   详细能够查看手册：man 3 syslog

 

6.链接符号

   

   .xxx  表示大于等于xxx级别的信息

   .=xxx 表示等于xxx级别的信息

   .！xxx 表示在xxx以外的级别信息

 

7.示例

 

  1.记录到普通文件或设备文件：

  

     *.*  /var/log/file.log

     *.*  /dev/pts/0

        logger -p local3,info 'KadeFor is testing the rsyslog and logger'

 

   2.发送给用户（须要在线才能收到）

 

    *.* root               使用，号分隔多个用户

     *.* root,kadefor,up01  *表示全部在线用户

     *.* *                 

    3.忽略，丢弃

    local.* ～ 忽略全部local3类型的全部级别的日志

 

   4.执行脚本

    

      local3.*  ^/tmp/a.sh   ^号后跟可执行脚本或程序的绝对路径

 

8.日志同步

  

  systemctl stop firewalld  关闭两台主机的防火墙

日志发送方

 *.* @172.25.0.11   经过udp协议把日志发送到11主机  @ udp   @@tcp

日志接受方

 

  $ModLoad imudp      日志接收插件

  $UDPServerRun 514   日志接受插件使用端口、

 

9.日志采集格式

  

   $template WESTOS,"timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

   messages后加上WESTOS