Linux文件系统与日志分析

结构：

inode与block        

硬链接与软连接

恢复误删的文件                                #需要专业的工具

分析日志文件

inode与block概述

文件数据分为两种：1.元信息        2.实际数据

block是连续八个扇区组成一个block

inode 也叫i节点        用于存储文件元信息

inode的内容：不包括文件名

查看文件的元信息可以用：stat 文件名

atime：最近文件访问的时间

mtime：最近文件内容修改时间

ctime：最近文件属性修改时间

inode打开文件的过程：

查看问文件的inode号可以用：stat文件名         ls -i 文件名

注意：linux 系统不使用文件名 识别文件 而是使用inode号来识别文件 文件名只是inode号便于识别的别称 文件名和inode号是一一对应的

当我 们无法删除文件名含有特殊符号的文件时 可以用inode号查询进行删除

当我们查看修改文件内容或改变文件名称都不会对inode改变 只有用vim才会对inode号进行改变

df-i查看每隔分区的inode数量         当inode占满时就无法在创建新文件了

链接：

软连接：1.软链接可以跨文件系统，因为它只是存储了目标文件的路径

                2.软链接可以链接到文件或目录

                3.删除软链接不会影响目标文件，但如果目标文件被删除或移动，软链接将失效。

                 4.使用ln -s命令创建软链接

硬链接：

                1.硬链接不能跨文件系统，因为它们依赖于底层文件系统的inode                        

                2.硬链接只能链接到文件，不能链接到目录

                3.删除一个硬链接不会影响其他硬链接或原始文件，只有当所有硬链接都被删除时，文件才会被真正删除

                4.ln命令创建硬链接

恢复数据：

extundelete软件包只能恢复EXT类型文件

首先创建磁盘

这样就分区完成了 然后挂载

然后安装这俩

首先我们先清空ren1这个磁盘然后进行恢复

这时候我们ren1这个磁盘里面啥都没得了

这时候我们创建几个文件

可以识别每个软件的inode number

当我们误删的时候后面的Deleted status 会出现Deleted

当我们误删的时候一定先磁盘解挂 

当我们执行这个操作的时候输入ls可以看见一个RECOVERED_FILES文件 然后cd进去就可以看见我们误删的文件了

实验2：当我们的diode号满了是否还可以继续创建新文件

为了实验方便我们给他的内存少一点

然后我们正常挂载

使用df -i可以查看可用的Inode数量

然后使用touch file{1..可用最大值}

然后再使用echo的时候我们就创建不了

日志：

功能：记录系统 程序运行中大声的各种时间

           阅读日志 有助于诊断和解决系统故障

分类：内核1.有系统服务rsyslog统一进行管理，日志格式基本相似

                        2.配置文件/etc/rsyslog.conf

                用户：记录系统用户登录及退出系统的相关信息

                程序：有各种应该程序独立管理的日志文件。记录格式不统一

日志保存的位置：/var/log 目录

主要日志文件：

日志级别：

数字越小代表

rsyslog是一个C/S架构，可以通过套接字来进行监听记录工作，可以基于TCP和UDP工作，默认的监听端口是514，只需要在MODULES打开即可

首先第一步关闭防火墙：systemctl disable --now firewalld

然后对这个文件里面的内容进行修改

 

然后修改客户端配置文件 

将下面四行前的注释取消掉
$ModLoad imudp
$UDPServerRun 514
$ModLoad imtcp
$InputTCPServerRun 514

然后再在

#### RULES ####
#添加下列内容
$template myFormat, "%timestamp% %hostname% %syslogseverity-text% %syslogtag% %msg%\n"
$ActionFileDefaultTemplate myFormat
*.info;mail.none;authpriv.none;cron.none              @@192.168.80.XX:514

然后进行一下操作然后ls就可以看见目录了 然后cd进去

然后这时候我们就可以进行观看其他服务器日志了

命令：tail （选项） （ip地址）

选项-r：表示倒叙，从尾部看

        -k：表示查看内核日志

        -f：表示实施跟踪

     等等