系统日志管理

#################
#####系统日志#####
#################

 

linux系统日志
有个rsyslog和journal两个日志系统

rsyslog：

/etc/rsyslog.conf        ##配置文件文件路径
##主要就是这个配置文件，包含了rsyslog的所有信息

 

 

打开/etc/rsyslog.conf 翻到RULES这里有好多定义好的规则

 

规则格式：日志类型.日志级别        保存路径

 

eg:
cron.*                                                  /var/log/cron

 

##定时任务.所有        保存在/var/log/cron文件中

 

 

管理员可以自己修改，删除，添加规则。

日志格式简介：

日志级别简介：

日志系统默认是打开的：可以看到/var/log/messages里面保存着以前的日志

 

自定义日日志采集格式

vim /etc/rsyslog.conf        ##配置文件路径

$template name,“格式”

eg:

$template westos,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

格式定义后不要忘记在文件路径后面加格式名字:

*.info;mail.none;authpriv.none;cron.none                /var/log/messages;westos



%timegenerated%		#日志生成时间
%FORMHOST-IP%		#日志来源主机的IP
%syslogtag%		#日志生成程序
%msg%			#日志内容
\n			#换行

 

这是更改后的图：

 

 

2、日志远程同步

/etc/rsyslog.conf    ##配置文件
在日志发送方（服务器端）
vim /etc/rsyslog.conf

 

*.*		@172.25.254.111	#日至接收

 

在日志接收方

 

vim /etc/rsyslog.conf

15 $Modload imudp            ##取消15，16行注释，打开UDP同步
16 $UDPServerRun 514

 

systemctl restart rsyslog        ##重启服务

 

由于防火墙的缘故阻挡的来自服务器的日至消息，为了实验效果，我们关掉防火墙。

systemctl stop firewalld            ##关闭防火墙
systemctl disable firewalld

 

 

journalctl              ##日志查看工具，直接查看内存中的日志

 

journalctl -n 3	        ##显示最近的三条日志    
journalctl -p err        ##查看指定类型的日志
journalctl -f 	        #日志监控
journalctl --since  --until    ##查看时间段的日志。    
journalctl -o verbose     #查看日志详细参数  
journalctl _pid=651        ##查看指定pid的日志

对systemd_journald管理
默认此程序只负责对日志进行查看而不进行保存采集
关机后失去以前的日志
因为是保存在内存的关机后清空了那么开机后用journalctl看不到的

 

 

如何让systemd_journald保存日志文件到硬盘
1,在/var/log目录下新建jouurnal目录，
mkdir /var/log/journal
2,更改目录的组属性，
chgrp systemd-journal   /var/log/journal
3，更改目录下新建文件的组属性，
chmod g+s /var/log/journal
4，杀掉进程，自动重起，会在journal目录下生成文件。
killall -1 systemd-journald
###重起后要确保journal文件夹下有生成的文件，这样就设置好了。
然会日志就会一直保存在journal目录中，

 

 

时间同步

1，在服务器端设置
vim /etc/chrony.conf ##打开chrony的配置文件。

 

29:	local stratum 10	##开启时间共享功能并设定共享级别 29行
				##这个参数开启后本纪不去同步别人的时间
21: allow 172.25.254.0/24	##允许那些客户段访问本纪共享时间
				##允许此网段的ip同步时间。

systemctl restart chronyd 重起服务，


2，客户端设置
vim /etc/chrony.conf ##打开chrony的配置文件。

 

server 172.25.254.100 iburst	##添加时间同步服务器

systemctl restart chronyd 重起服务，


chronyc sources -v 查看同步状态

 

[root@node2 ~]# chronyc sources -v
210 Number of sources = 1

  .-- Source mode  '^' = server, '=' = peer, '#' = local clock.
 / .- Source state '*' = current synced, '+' = combined , '-' = not combined,
| /   '?' = unreachable, 'x' = time may be in error, '~' = time too variable.
||                                                 .- xxxx [ yyyy ] +/- zzzz
||                                                /   xxxx = adjusted offset,
||         Log2(Polling interval) -.             |    yyyy = measured offset,
||                                  \            |    zzzz = estimated error.
||                                   |           |                         
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================
^* 172.25.254.111               10   6    37    43  +1009ns[ +275us] +/-  200us

##最后一行有 ^*  代表同步成功。