linux文件系统与日志分析

文件系统

概念

文件是存储在硬盘上的，硬盘上的最新存储单位是扇区，每个扇区的大小是512字节

inode：元信息（文件的属性 权限 创建者 创建日期等）

block：块，连续的八个扇区组成一个块，一个块的大小是4K，创建一个文件，最小也要占4K。块是文件最小的存储单位。

操作系统读取硬盘，是一次性读取多个扇区，一个块一个块的读取数据

创建文件：实际空间大小的要占空间，元信息也要占空间。元信息和实际数据都保存在硬盘上。

inode（元信息）大小：128字节或256字节

一个文件必须占用一个inode号（只有创建文件必须有一个inode号）

至少占用一个block（空文件也要占一个块）

时间戳：

atime：读取文件就会更新这个时间

mtime：修改文件数据，更改文件的属性，都会更新这个时间

ctime：修改文件的权限也会更新这个时间

inode号：

linux都是识别文件的inode号

元信息发生了变化，inode号也会随之发生变化

磁盘越大inode号越多，磁盘越小inode号越少

linux系统的特有现象：

inode号和文件名分离，二者只是映射关系

1）文件名包含特殊字符，rm可能无法正常删除，可以直接删除inode号

2）移动文件，重命名，inode号是不变的

3）一旦开始对文件操作，后续所有的认证和识别都是通过inode号来的，不再考虑文件名

4）元信息发生变化，inode也会发生变化

xfs文件系统，如何能够实现备份和恢复？

 备份和恢复的命令：

xfsdump备份

xfsrestore恢复

备份：

xyfdump命令的选项：

-f ：指定需要备份的硬盘分区

-L :指定标签

-M ：指定设备标签

-s ：备份单个文件，-s 后面不能直接跟路径

使用限制：

1）只能备份xfs的文件系统

2）只能备份已经挂载的文件系统

3）只有root（管理员）权限才能进行操作

4）备份之后的数据要恢复，只能使用xfsrestore

5）如果两个设备的uuid相同，不能备份（这种情况几乎不会出现）

备份示例及解析：

xfsdump -f /opt/backup /dev/sdb2 [-L backup -M sdb2]

-f ：执行文件

/opt/backup ：必须是文件，并且不存在，不能是目录。如果文件已经存在，必须是空文件

/dev/sdb2 ：设备

[-L 文件标签（备份文件的标签）]

[-M 设备标签 (要备份的硬盘分区) ]

备份的级别：全量备份和增量备份

默认是0，也就是全量备份

1-9是增量备份（一般不用）

恢复：

示例：xfsrestore -f /opt/backup /data1/

/opt/backup：备份的文件

/data1：恢复的指定目录

备份完之后，恢复文件，inode号会发生变化

日志分析

日志文件

linux系统本身的日志和大部分的服务器程序的日志都在/var/log/

/var/log/messages ：记录了linux的内核消息，各种应用程序的公共日志消息

应用程序公共日志：开关机 重启 网络错误 程序故障这些都属于公共日志

访问日志和一些资源业务日志不包含其中

cron：记录的是定时任务的日志

dmesg：引导过程中的日志信息

maillog：记录进入或者发出的系统电子邮件信息

secure：用户认证的相关信息

日志级别：

日志级别怎么定义：

*.info： *表示所有，表示系统当中的设备，或者程序。info：包含info级别以上的日志

*.=info：明确指定只保存info日志，其他的都不要

*.！info：除了info级别的都要，！取反

auth ：用户认证产生的体质

daemon：守护后台进程的进程

authpriv：SSh，FTP登录验证的信息

news：网络传输产生的信息

syslog：系统的相关日志

kern：系统的内核日志

user：用户的进程日志

local0-local7：自定义程序的日志

uucp：unix-to-unix copy：两个linux之间的通信

日志信息的分析示例

May 31 13:46:02 test1 systemd: Starting The Apache HTTP Server...

May 31 13:46:02 ：表示当前日志发生的时间

test1： 表示发生的主机名

systemd： 哪个系统产生了这个日志。

Starting The Apache HTTP Server...：日志的具体内容。

实验一：

ssh的日志单独列处理，作为一个独立的日志文件

实验二：

配置日志服务器，来进行日志收集

tes1：192.168.203.10   日志手机服务器

tes2：192.168.203.20   将20上生产的日志，都发送到10上，20不再记录日志