笔记---（11）、文件系统与日志分析

block

存放数据信息
默认大小为4K，可以进行调整
较大的文件，占用多个block
较小的文件，如果一个block存不满，剩余空间无法存别的文件，只能浪费
创建一个文件至少占用一个inode和一个block（非空文件）
磁盘读取数据时按照block为单位读取，读取一次消耗一次磁盘I/O

inode的作用

每个inode都有一个号码，操作系统用inode号码来识别不同的文件
Linux系统内部不使用文件名，而使用inode号码来识别文件
对于用户，文件名只是inode号码便于识别的别称

inode也会消耗硬盘空间
一般是128字节或256字节

已删除文件恢复

恢复xfs文件系统：xfsdump

恢复ext3、ext4文件系统：extundelete

恢复xfs类型文件

xfsdump格式

xfsdump -f 备份存放位置 需要备份的路径或设备文件

xfsdump备份级别（默认0）
0：完全备份
1-9：增量备份
xfsdump常用选项：-f、-L、-M、-s
xfsrestore命令格式

xfsrestore -f 恢复文件的位置 存放恢复后文件的位置

xfsdump使用

xfsdump使用限制

只能备份已挂载的文件系统
必须使用root的权限才能操作
只能备份XFS文件系统
备份后的数据只能让xfsrestore解析
不能备份两个具有相同UUID的文件系统

xfsdump备份数据

先安装xfsdump
yum -y install xfsdump
然后进行备份

xfsrestore数据恢复

日志文件

日志保存位置

默认：/var/log
内核及公共消息日志：/var/log/messages
计划任务日志：/var/log/dmesg
邮件系统日志：/var/log/maillog
用户登录日志：/var/log/lastlog
			/var/log/secure
			/var/log/wtmp
			/var/run/btmp

/var/log/lastlog：最近的用户登录事件
/var/log/wtmp：用户登录、注销及系统开、关机事件 
/var/run/utmp：当前登录的每个用户的详细信息 
/var/log/secure：与用户验证相关的安全性事件

内核及系统日志

日志消息的级别

级号	消息	级别	说明
0	EMERG	紧急	会导致主机系统不可用的情况
1	ALERT	警告	必须马上采取措施解决的问题
2	CRIT	严重	比较严重的情况
3	ERR	错误	运行出现错误
4	WARNING	提醒	可能会影响系统功能的事件
5	NOTICE	注意	不会影响系统但值得注意
6	INFO	信息	一般信息
7	DEBUG	调试	程序或系统调试信息等

日志记录的一般格式

| 信息 | 一般信息 |
| 7 | DEBUG | 调试 | 程序或系统调试信息等 |

日志记录的一般格式

| 时间标签 | 主机名 | 子系统名 | 消息字段 |