Linux进阶--日志管理

日志管理

Linux日志介绍

日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息，系统的启动信息，系统的安全信息、邮件相关信息、各种服务相关信息等。

日志记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者收到攻击时攻击者留下的痕迹。

总之，日志是用来记录重大事件的工具。

系统常用日志

日志存放的目录：/var/log

日志管理服务 rsyslogd

CentOS7.6日志服务是rsyslogd,CentOS6.x 日志服务是syslogd。rsyslogd 功能更强大。

rsyslogd 的使用、日志文件的格式和syslogd服务兼容。

具体使用方式如下：

# 查询Linux中的rsyslogd服务是否启动
ps aux | grep "rsyslogd" | grep -v "grep" # -v 表示反向匹配，搜索不包含"grep" 的内容
# 查询 rsyslogd服务 的自启动状态
systemctl list-unit-files | grep rsyslog

配置文件：/etc/rsyslog.conf

编辑文件时的格式为：*.* 存放日志文件

第一个* 代表日志类型，第二个*代表日志级别

1. 日志类型分为：

auth      #pam产生的日志
authpriv  #ssh、ftp等登录信息的验证信息
cron      #时间任务相关
kern      #内核
lpr       #打印
mail      #邮件
mark(syslog)-rsyslog   #服务内部的信息，事件标识
news      #新闻组
user      #用户程序产生的相关信息
uucp      #unix to unix copy主机之间相关的通信
local 1-7 # 自定义的日志设备

日志级别分为：

debug     # 调试信息、日志通信最多
info      # 一般信息日志，最常用
notice    # 最具有重要性的普通条件的信息
warning   # 警告级别
err       # 错误级别，阻止某个功能或者模块不能正常工作的信息
crit      # 严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert     #需要立刻修改的信息
emerg     #内核崩溃等重要信息
none      #什么都不记录

注意：从上到下，级别由低到高，记录信息越来越少！

比如，/etc/rsyslog.conf文件的部分内容如下：

由rsyslogd 记录的日志文件，包含以下4列信息：

• 事件发生时间
• 发生事件的服务器主机名
• 发生事件的服务名或程序名
• 事件的具体信息

比如查看/var/log/secure 日志，这个日志记录用户验证和授权方面的信息。

日志管理服务的具体应用

在/etc/rsyslog.conf 中添加一个日志文件/var/log/ali.log ，当有事件发送时（比如sshd服务相关事件），该文件会接收到信息并保持：

# 给 /etc/rsyslog.conf 的最后一行添加
*.*                             /var/log/ali.log

此时就配置完成了

日志轮替

日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存期限后，就会进行删除。

• 日志轮替文件命名

centos7 使用logrotate 进行日志轮替管理，要想改变日志轮替文件名字，通过/etc/logrotate.conf配置文件中得"dateext"参数。

如果配置文件中有"dateext"参数，日志会使用日期来作为日志文件得后缀，例如："secure-20211103"。这样日志文件名不会重复，也就不需要日志文件得改名，只需要指定保存日志得个数，删除多余得日志文件即可。

如果配置文件中没有"dateext"参数，日志文件就需要改名了。当第一次进行日志轮替时，当前得"secure"会自动改为"secure.1",然后新建"secure"日志，用来保存新日志。当第二次进行日志轮替时，"secure.1"会改为"secure.2"，当前得"secure"会自动改为"secure.1"，然后新建"secure"日志文件，用来保存新得日志。以此类推。

• logrotate 配置文件

/etc/logrotate.conf 是 logrotate 的全局配置文件

具体内容如下：

• logrotate 配置文件参数说明

daily # 轮替周期是日
weekly #轮替周期是周
monthly #轮替周期是月
rotate 数字 #保留得日志文件个数。0表示没有备份
compress #日志轮替时，旧得日志进行压缩
create mode owner group #建立新日志，同时指定新日志权限与所有者和所属组
mail address #当日志轮替时，输出内容通过邮件发送到指定得邮件地址
missingok #如果日志不存在，则忽略该日志得警告信息
notifempty #如果日志为空文件，则不进行轮替
minsize 大小 # 日志轮替得最小值。日志一定要达到这个最小值才会进行轮替，否则就算到达时间也不轮替
size 大小 #日志只有大于指定大小才进行日志轮替，而不是按照时间轮替
dateext #使用日期作为日志轮替文件得后缀
sharedscripts #在此关键字之后得脚本只执行一次
prerotate/endscript #在日志轮替之前执行脚本
postrotate/endscript #在日志轮替之后执行脚本

• 把自己的日志加入日志轮替

第一种方法：直接在/etc/logrotate.conf 配置文件中写入该日志的轮替策略。

第二种方法：在/etc/logrotate.d/目录中新建立该日志的轮替文件，在该轮替文件中写入正确的轮替策略，因为该目录中的文件都会被"include"到主配置文件中，所以也可以把日志加入轮替。

推荐使用第二种方法，因为系统中轮替的日志非常多，如果全部写入/etc/logrotate.conf ，这个文件就难以维护了。

/etc/logrotate.d/下的内容如下：

然后在ali.log 中编写内容如下：

/var/log/aliSSHD.log  # 针对这个日志文件设置轮替规则
{
	missingok
	daily
	copytruncate
	rotate 7
	notifempty
}

日志轮替原理

日志轮替之所以可以在指定的时间备份日志，是依赖系统定时任务。

在/etc/cron.daily/ 目录，可以看到有logrotate 文件，系统通过这个定时任务来执行日志轮替。

查看内存日志

journalctl 可以查看内存日志，常用指令如下：

journalctl     # 查看全部
journalctl -n 3   # 查看最新3条日志
journalctl --since 19:00 --until 19:10:10 # 查看这个时间段内的日志，可以在参数加上日期
journalctl -p err  #报错日志
journalctl -o verbose #日志详细内容
journalctl _PID=1245 _COMM=sshd  #查看包含这些参数的日志
journalctl | grep sshd
# 案例：查看用户登录日志
journalctl | grep sshd

注意：journalctl 查看的是内存日志，重启系统后会被清空