日志管理（补）

日志采集格式

$template WESTOS, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

%timegenerated%	显示日志时间
%FROMHOST-IP%	显示主机ip
%syslogtag%	日志记录目标
%msg%	日志内容
\n	换行

注意： 格式名称必须大写
参数”参数两边都有%
参数写在什么位置生成的日志对应参数就在相应的位置
不加换行不会自动换行
参数中间加的分隔符会显示到日志中
出现invalid property name报错是参数写错 在使用该格式的日志文件后加；和格式名称
如果是给别的主机发送就在接收方的/etc/rsyslog.conf下设置同样的格式即可，
否则发送的会以接收方的格式显示
即在哪查看以哪的标准显示

编辑服务端主文件

vim /etc/rsyslog.conf  

时间同步

服务名称：chronyd
在服务端：
(1)编辑服务，设置时间源

vim /etc/chroy.conf

23行 allow 172.25.254.0/24 ###允许网络位相同的客户端来同步本机时间（把时间共享出去，允许谁去同步我的时间，只要前三个数字相同就可以访问）

30行 local stratum 10 #### 表示时间源的级别，本机不同步任何主机的时间，本机为时间源

(2)重启服务

systemctl restart chrony.service

(3)服务端关闭防火墙，防火墙不允许别的主机访问或者向本机发送数据包

systemctl stop firewalld

客户端
(1)删除原有的网址
vim /etc/chrony.conf
(2)设置服务端的ip
server 172.25.254.236 iburst ##本机立即同步236主机的时间
（访问端 只保留一行，server后的是IP地址，iburst是指让更改立即生效）
(3)重启服务

systemctl restart chronyd.service

客户端测试：

为了区别时间可以在客户端设置一个别的时间
date 11111111 ##修改客户端的时间

chronyc sources -v     ##如果source state ' * '=current synced 表示已连接

timedatectl 命令

timedatectl			##管理系统时间
timedatectl  status		##显示当前时间信息
timedatectl  set-timezone "Asia/Shanghai"		##设置当前时区
timedatectl  set-time "2019-04-17 2:00"		##设置当前时间

timedatectl  list-timezonees 		##查看支持的时区

timedatectl  set-local-rtc 0/1		##设置是否使用utc时间  是为1，否为0
  vim /etc/adjtime   ##用来查看是否使用utc时间

查看内存中的日志

1.日志查看工具：journalctl

journalctl -n 5   ##查看最近5条消息

jouranlct -p err  ##查看错误日志

jouranlctl -o verbose  ##查看日志详细参数

2.如何使用systemd-journald保存系统日志
默认systemd-journald是不保存系统日志到硬盘的，那么关机后再次开机只能看到本次开机之后的日志，上一次关机之前的日志是无法查看的
## 标题


##这个时间 13：50：07 在13：47：37之后，说明关机之前的日至无法查看

使用下列命令可以保存系统日志，可以看到关机之前的日志内容，

mkdir /var/log/journal    （建立一个记录系统日志的文件）
chgrp systemd-journal /var/log/journal  （将这个目录里的所有用户组都是systemd-journal）
chmod g+s /var/log/journal   (改变目录的所属组)
killall -l systemd-journald  重新家载日志服务
ls /var/log/journal    ##第一次查看
reboot   ##重启虚拟机
ls /var/log/journal    ##再次查看

14：04：57 这个时间在 重启前 14：07：24之前 ，说明记录到了关机前的日志