linux系统日志

日志文件：

/var/log/这个目录中的。

[root@nullpointerexception crontab]# ls /var/log
amanda             btmp                lastlog            sa                      vmware-vmsvc.log
anaconda           chrony              libvirt            samba                   vmware-vmusr.log
audit              cron                maillog            secure                  wpa_supplicant.log
boot.log           cron-20191022       maillog-20191022   secure-20191022         wtmp
boot.log-20191017  cups                messages           speech-dispatcher       Xorg.0.log
boot.log-20191018  dmesg               messages-20191022  spooler                 Xorg.0.log.old
boot.log-20191019  dmesg.old           ntpstats           spooler-20191022        Xorg.9.log
boot.log-20191021  firewalld           pluto              sssd                    yum.log
boot.log-20191022  gdm                 ppp                tallylog
boot.log-20191023  glusterfs           qemu-ga            tuned
boot.log-20191024  grubby_prune_debug  rhsm               vmware-vgauthsvc.log.0

last 查看登录系统的用户

lastlog 查看登录系统的用户

集中日志管理：将日志存储在另一台主机上。

接收日志的主机要开启514端口，在/etc/rsyslog.conf 这个文件中注释掉的打开。

# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514

修改之后重启服务。

然后查看514 端口信息。

[root@nullpointerexception crontab]# netstat -antlup | grep :514
tcp        0      0 0.0.0.0:514             0.0.0.0:*               LISTEN      32917/rsyslogd      
tcp        0      0 172.16.12.4:514         172.16.67.2:58466       ESTABLISHED 32917/rsyslogd      
tcp        0      0 172.16.12.4:42526       172.16.67.2:514         ESTABLISHED 32917/rsyslogd      
tcp6       0      0 :::514                  :::*                    LISTEN      32917/rsyslogd      

发送日志的主机要在rules下设置接收主机IP地址。

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log
local7.*                                                @@172.16.67.2

日志记录级别
level syslogd                  	            遇到何种情况（正常、错误）才会记录日志
     0  LOG_EMERG		                    紧急，致命，服务无法继续运行，如配置文件丢失
     1  LOG_ALERT		                  	报警，需要立即处理，如磁盘空使用95
     2  LOG_CRIT			                致命行为
     3  LOG_ERR			                  	错误行为
     4  LOG_WARNING		                 	警告信息
     5  LOG_NOTICE		                  	普通
     6  LOG_INFO			                标准信息
     7  LOG_DEBUG		                  	调试信息，排错所需，一般不建议使用

配置文件中的设备。

# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.*                                                 /dev/console

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

# Log all the mail messages in one place.
mail.*                                                  -/var/log/maillog


# Log cron stuff
cron.*                                                  /var/log/cron

# Everybody gets emergency messages
*.emerg                                                 :omusrmsg:*

# Save news errors of level crit and higher in a special file.
uucp,news.crit                                          /var/log/spooler

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log

kern.* /dev/console 关于内核的日志信息发到控制台

*.info;mail.none;authpriv.none;cron.none /var/log/messages 记录所有日志的info级别及大于info级别的信息到messages文件，但是mail邮件信息，authpriv验证方面的信息个cron时间任务的除外。

authpriv.* /var/log/secure 验证相关的信息存在securce文件中

一下同理：

mail 邮件的日志信息 “-” 符号表示，异步的方式记录。日志文件一般较大

cron.* 计划任务相关日志

*.emerg 所有大于emerg级别的信息以wall方式发给每个登录到系统的人。

uucp，news，crit 记录这些的

local7.* 自定义设备的日志 这个从local0 到local7是用户可以自定义的。

日志的记录：

编写主配置文件/etc/rsyslog.conf

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log
local1.*   /var/log/local1.log
加一行

测试：

[root@gsc666 ~]# logger -is -p local1.info "test log 10101010"   //手动发送一条日志。
root[14215]: test log 10101010
[root@gsc666 ~]# tail -3 /var/log/local1.log   //在这个对应的日志文件中能够检测到一条。
Oct 25 19:59:18 gsc666 root[14215]: test log 10101010

以上，日志的原理