linux 日志管理

系统日志存放的位置

linux中的日志文件存储在 /var/log*

不同模块的日志会记录到不同的模块中去

模块	位置
内核及公共消息日志	/var/log/messages
计划任务日志	/var/log/cron
系统引导日志	/var/log/dmesg
邮件系统日志	/var/log/maillog

---

查看内核日志
tail -f /var/log/message

[root@ecs-t6-large-2-linux-20190824103606 ~]# tail -f /var/log/messages
Sep 15 07:15:30 ecs-t6-large-2-linux-20190824103606 nm-dispatcher: req:1 'dhcp4-change' [eth0]: new request (2 scripts)
Sep 15 07:15:30 ecs-t6-large-2-linux-20190824103606 nm-dispatcher: req:1 'dhcp4-change' [eth0]: start running ordered scripts...
Sep 15 08:00:26 ecs-t6-large-2-linux-20190824103606 systemd: Starting Docker Cleanup...
Sep 15 08:00:26 ecs-t6-large-2-linux-20190824103606 systemd: Started Docker Cleanup.
Sep 15 08:01:01 ecs-t6-large-2-linux-20190824103606 systemd: Started Session 312 of user root.
Sep 15 09:00:04 ecs-t6-large-2-linux-20190824103606 systemd: Starting Docker Cleanup...
Sep 15 09:00:04 ecs-t6-large-2-linux-20190824103606 systemd: Started Docker Cleanup.
Sep 15 09:01:01 ecs-t6-large-2-linux-20190824103606 systemd: Started Session 313 of user root.
Sep 15 09:03:59 ecs-t6-large-2-linux-20190824103606 systemd: Started Session 314 of user root.
Sep 15 09:03:59 ecs-t6-large-2-linux-20190824103606 systemd-logind: New session 314 of user root.

日志记录的一般格式如下

Sep 15 09:03:59 ecs-t6-large-2-linux-20190824103606 systemd-logind: New session 314 of user root.
    时间            主机名                          子系统名            消息字段

日志的分类

内核及系统日志

系统日志由 rsyslog统一管理,日志的格式也基本相同

查看系统上rsyslog的版本

[root@ecs-t6-large-2-linux-20190824103606 ~]# rpm -q rsyslog
rsyslog-8.24.0-34.el7.x86_64

查看rsyslog的位置

[root@ecs-t6-large-2-linux-20190824103606 ~]# whereis rsyslog
rsyslog: /usr/lib64/rsyslog /etc/rsyslog.d /etc/rsyslog.conf

• 主程序 /etc/rsyslog.d
• 配置文件 /etc/rsyslog.conf

配置文件中可以配置日志的级别/记录方式等

/etc/rsyslog.conf的配置规则

查看配置文件 cat /etc/rsyslog.conf 然后截取RULE部分

#### RULES ####
##########  日志设备.日志级别  ##################          #########  消息发送位置  ###############
# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.*                                                 /dev/console

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

# Log all the mail messages in one place.
mail.*                                                  -/var/log/maillog


# Log cron stuff
cron.*                                                  /var/log/cron

# Everybody gets emergency messages
*.emerg                                                 :omusrmsg:*

# Save news errors of level crit and higher in a special file.
uucp,news.crit                                          /var/log/spooler

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log
local2.info						/tmp/test.log

记录日志时,会从上到下读取配置信息,只要匹配上就记录信息,每命中一个配置,就记录一下

日志设备

日志设备.级别	说明
auth	-pam(linux中的认证机制) 产生的日志
authpriv	-ssh,ftp 等登录信息的验证信息
cron	时间任务相关
kern	-内核相关
lpr	-打印
mail	-邮件
mark(syslog)	-rsyslog服务内部的信息,时间标识
news	-新闻组
user	-用户程序产生的相关信息
uucp	-unix to unix copy unix主机之间的相关通信
local 1~7	自定义日志设备文件

用户可以使用local 1~7 自定义设置的设备,及其输出方式

# 定制 , info级别以上的local2 日志,全部记录到  /tmp/test.log
local2.info                                              /tmp/test.log

修改了日志文件需要重启

systemctl restart rsyslog

如果依然无效, vim /etc/selinux/config,将 selinux = disable ,然后重启

九种日志级别,自上而下级别由低到高

级别	说明
NONE	什么都不记录
EMERG (紧急)	导致主机系统不可用的情况
ALERT(警告)	必须马上采取解决措施
CRIT (严重)	比较严重的情况
ERR	运行时的错误
WARNING (提醒)	可能影响系统功能的事件
NOTICE(注意)	不会影响系统功能,但是值得注意
INFO	一般信息
DEBUG	调试信息

自下而上,信息记录的越来越少

三种连接符号

符号	说明
.	记录大于等于后面级别的日志
.=	只记录等于后面级别的日志
.!=	只记录不等于后面级别的日志

日志的处理方式

处理方式	说明
本地文件	通常就是文件的绝对路径
打印机	如: /dev/lp0
用户名称	显示给指定的用户
远程主机	@XX.XXX.XX.X
*	显示给所有在线的用户

---

用户日志

记录了系统上用户登录/登出的相关信息

用户日志	说明
/var/log/lastlog	最近的用户登录事件
/var/log/wtmp	用户的登录/注销/及系统的开关机事件
/var/log/utmp	当前登录的每个用户的详细信息
/var/log/secure	和用户验证相关的安全性事件

/var/log 中存放的是系统上各式各样的日志文件, text类型的可以直接查看, 还有一些
是data类型的文件,这种文件是被系统上的命令使用的文件, 如 w who 命令

[root@ecs-t6-large-2-linux-20190824103606 ~]# file /var/log/utmp
/var/log/utmp: cannot open (No such file or directory)
[root@ecs-t6-large-2-linux-20190824103606 ~]# file /var/log/wtmp
/var/log/wtmp: data
[root@ecs-t6-large-2-linux-20190824103606 ~]# file /var/log/secure
/var/log/secure: ASCII text
[root@ecs-t6-large-2-linux-20190824103606 ~]# file /var/log/lastlog
/var/log/lastlog: data

用户登录分析

who、w、users、last、lastlog

手动记录日志

命令: logger

作用: 从命令行直接向系统日志文件写入一行信息

echo hahaha | logger -it "logger test" -p user.info

-p: 指定日志设备.日志规则
-it : 描述

查看

[root@ecs-t6-large-2-linux-20190824103606 ~]# tail -1 /var/log/messages
Sep 15 10:19:30 ecs-t6-large-2-linux-20190824103606 journal: logger test[25291]: hahaha

程序日志

由各种应用程序独立控制的日志,格式不统一

日志转储 logrotate

系统上时时刻刻产生日志,为了防止它填满硬盘,需要对它进行转储,说白了,就是删除旧的日志文件,创建新的日志文件

查看他的配置文件

cat /etc/logrotate.conf

[root@ecs-t6-large-2-linux-20190824103606 ~]# cat /etc/logrotate.conf 
# see "man logrotate" for details
# 每周备份一次  mv
weekly

# 保留4份旧的日志文件
rotate 4

# 每次 轮转备份 时,都使用新创建的日志文件
create

# 新创建的日志文件,使用日期当后缀
dateext

# uncomment this if you want your log files compressed
#compress

# RPM packages drop log rotation information into this directory
# 加载当前这个主要配置文件的同时, 通过下面的这条配置加载了次要配置文件
include /etc/logrotate.d

# no packages own wtmp and btmp -- we'll rotate them here

# 文件的转储规则
/var/log/wtmp {
    monthly
    create 0664 root utmp
	minsize 1M
    rotate 1
}

/var/log/btmp {
    missingok
    monthly
    create 0600 root utmp
    rotate 1
}

查看系统中次要的配置文件

[root@ecs-t6-large-2-linux-20190824103606 ~]# ll /etc/logrotate.d/
total 24
-rw-r--r--  1 root root  91 Apr 11  2018 bootlog
-rw-r--r--  1 root root 137 Sep 12 17:14 log_test
-rw-r--r--. 1 root root 136 Jun 10  2014 ppp
-rw-r--r--  1 root root 224 Oct 30  2018 syslog
-rw-r--r--  1 root root 100 Oct 31  2018 wpa_supplicant
-rw-r--r--  1 root root 103 Nov  5  2018 yum

可以仿照/etc/logrotate.d/ 配置自己的日志文件的转储规则

看一下 syslog的规则如下:

[root@ecs-t6-large-2-linux-20190824103606 ~]# cat /etc/logrotate.d/syslog 
/var/log/cron
/var/log/maillog
/var/log/messages
/var/log/secure
/var/log/spooler
{
    missingok  # 日志在转储期间,出现任何错误都ok
    sharedscripts # sharedscripts的作用是在所有的日志文件都轮转完毕后统一执行一次脚本。如果没有配置这条指令，那么每个日志文件轮转完毕后都会执行一次脚本。
    # 下面的执行的shell 脚本
    postrotate
	/bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
    endscript
}

可以看到了,它里面配置了 /var/log/ cron定时任务,maillog邮件,message消息,secure用户登录登出 及打印服务spooler的日志转储规则

logrotate的参数

参数	说明
compress	通过gzip 压缩转储以后的日志
nocompress	不需要压缩时，用这个参数
copytruncate	用于还在打开中的日志文件，把当前日志备份并截断
nocopytruncate	备份日志文件但是不截断
create mode owner group	转储文件，使用指定的文件模式创建新 的日志文件
nocreate	不建立新的日志文件
delaycompress	和 compress 一起使用时，转储的日志文件到 下一次转储时才压缩
nodelaycompress	覆盖 delaycompress 选项，转储同时压缩
errors address	专储时的错误信息发送到指定的Email 地址
ifempty	即使是空文件也转储，这个是 logrotate 的缺省选项。
notifempty	如果是空文件的话，不转储
mail address	把转储的日志文件发送到指定的E-mail 地址
nomail	转储时不发送日志文件
olddir directory	转储后的日志文件放入指定的目录，必须和当前 日志文件在同一个文件系统
noolddir	转储后的日志文件和当前日志文件放在同一个目录下转储后的日志文件和当前日志文件放在同一个目录下
prerotate/endscript	在转储以前需要执行的命令可以放入这个对之间，这两个关键字必须单独成行
daily	指定转储周期为每天
weekly	指定转储周期为每周
monthly	指定转储周期为每月
rotate count	指定日志文件删除之前转储的次数，0 指没有备 份，5 指保留5 个备份
ootext [+] list	不转储指定扩展名的文件，缺省的扩展名是：.rpm-orig .rpmsave
size	当日志文件到达指定的大小时才转储，可以指定bytes(缺省)以及KB(sizek)或者MB (sizem)