系统日志管理

系统日志管理

1.rsyslog

此服务用来采集系统日志，他不生产日志，只有采集作用

2.reyslog的管理

/var/log/messages			##服务信息日志
/var/log/secure				##系统登陆日志
/var/log/cron				##定时人物日志
/var/log/maillog			##邮件日志
/var/log/boot.log			##系统启动日志

指定日志采集路径
什么类型的日志，什么级别的日志 /var/log/file

日志类型

auth								##pam产生的日志
authpriv							##ssh，ftp等登录信息的验证信息
cron								##时间任务相关
kern								##内核
lpr									##打印
mail								##邮件
mark(syslog)-rsyslog				##服务内部的信息，时间标识
news								##新闻组
user								##用户程序产生的相关信息
uucp								##unix to unix copy,unix主机之间相关的通讯
local 1~7							##自定义的日志设备

日志级别

debug					##有调式信息的，日志信息的最多
info					##一般信息的日志，最常用
notice					##最具有重要性的普通条件的信息
warning					##警告级别
err						##错误级别，阻止某个功能或模块不能正常工作的信息
crit					##严重级别，阻止整个系统或整个软件不能正常工作的信息
alert					##需要立刻修改的信息
emerg					##内核崩溃等严重信息
none					##什么都不记录
eg：
		把系统中所有日志采集到/var/log/chen文件中
		操作：
				vim /etc/rsyslog.conf
				添加：  *.*	  /var/log/chen
				systemctl restart rsyslog	##重启服务
		测试：
				systemctl restart sshd		##生成日志
				cat /var/log/chen			##查看是否有日志信息生成

3.日志的远程同步

可以实现客户端日志同步到服务器

在日志发送方：
vim /etc/rsyslog.conf
*.*		@172.25.254.207			##接受端ip
systemctl restart rsyslog

在日志接受端：
vim /etc/rsyslog.conf
15行		$ModLoad imudp		##日志接受模块
16行		$UDPServerRun 514	##开启接受端口
systemctl restart rsyslog
systemctl stop firewalld			##关闭火墙
systemctl disable firewalld			##设定火墙开机关闭
测试：
在两端都清空日志文件
>	/var/log/messages
在发送端
logger  test
cat	/var/log/messages		##查看日志已生成
在接受端
cat	/var/log/messages		##两边内容一样则成功

4.日志采集格式设定

vim  /etc/rsyslog.conf
$template CHEN,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"		##格式
%timegenerated% 			##显示日志时间
%FROMHOST-IP%				##主机ip
%syslogtag%					##日志记录目标
 %msg%						##日志内容
 \n							##换行

*.*				/var/log/chen;CHEN		##在指定日志中采用CHEN格式
 $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
 ————>$ActionFileDefaultTemplate CHEN 		
 ##修改系统默认日志格式为CHEN
 cat  /var/log/chen
 注意：修改之后记得重启服务

5.时间同步服务

5.1服务名称：chronyd

5.2操作

实现客户端与服务端时间统一

在服务端：
vim /etc/chrony.conf
22行		allow 172.24.254.0/24		##允许这些客户端来同步本机时间
29行		local stratum 10			##本机不同步任何主机时间，本机作为主机
systemctl restart chronyd
在客户端：
vim /etc/chrony.conf
server 172.25.254.207 iburst		##本机立即同步207主机时间
systemctl restart chronyd    

测试
在客户端：
chronyc source -v
210 Number of sources = 1

  .-- Source mode  '^' = server, '=' = peer, '#' = local clock.
 / .- Source state '*' = current synced, '+' = combined , '-' = not combined,
| /   '?' = unreachable, 'x' = time may be in error, '~' = time too variable.
||                                                 .- xxxx [ yyyy ] +/- zzzz
||                                                /   xxxx = adjusted offset,
||         Log2(Polling interval) -.             |    yyyy = measured offset,
||                                  \            |    zzzz = estimated error.
||                                   |           |                         
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================
^? 172.25.254.207                0   6     0   10y     +0ns[   +0ns] +/-    0ns

6.timedatectl 命令

timedate								##管理系统时间
				status					##显示当前时间信息
				set-time				##设定当前时间
				set-timezomne			##设定当前时区
				set-local-rtc 0 | 1		##设定是否使用utc时间
				list-timezones			##查看支持的所有时区

7.journal命令

7.1 journalctl

journalctl							##日志查看工具
				-n 3				##查看最近三条日志
				-p err				##查看错误日志
				-o verbose			##查看日志的详细参数
				--since				##查看从什么时间开始的日志
				--until				##查看从什么时间为止的日志

7.2如何保存系统日志

默认systemd-journald是不保存系统日志到硬盘的，那么关机再开机后只能看见本次开机的日志，上次的是看不见的

mkdir /var/log/journal
chgrp systemd-journal  /var/log/journal
chmod g+s /var/log/journal
killall -1 systemd-journald 

ls /var/log/journal
一串数字
cd  /var/log/journal/一串数字 
ls
出现 .journal 文件