Linux系统日志

一、基础概念

（1）block块
连续的八个扇区组成的一个block
是文件存取的最小单位
（2）inode 索引节点
中文译名为“索引节点”也叫 i节点
用于储存文件元信息

二、inode号

（1）inode包含文件的元信息
文件时间戮
文件group ID
文件的字节数
文件拥有者的User ID
文件的可读、写入、执行权限
（2）系统文件三个时间属性
操作系统用inode号来识别不同文件
对于使用者来说，文件名只是inode号便于识别的别名

ctime //最后一次改变文件或目录（属性）的时间
atime //最后一次访问文件或目录的时间
mtime //最后一次修改文件或目录（内容）的时间

ls -i 文件名 //查看文件名对应的inode号
stat 文件名 //查看文件inode信息中的inode号
（3）访问文件简单的流程

（4）inode大小
inode也会消耗硬盘空间
大小一般是128字节或256字节
格式化文件系统时确定inode的总数
使用df -i命令可以查看每个硬盘分区的inode总数和已经使用的数量

三、 日志文件系统

1.内核及系统日志由系统服务 rsyslog 统一管理，主配置文件为/etc/rsyslog.conf
2.Linux操作系统本身和大部分服务器程序的日志文件都默认放在目录/var/log/下

通常在/var/og/messages下，记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息
（1）Linux系统日志消息优先级别

0 EMERG（紧急）	会导致主机系统不可用的情况
1ALERT(警告)	必须马上采取措施解决的问题
2 CRIT（严重）	比较严重的情况
3 ERR（错误）	运行出现错误
4 WARNING（提醒）	可能影响系统功能，需要提醒用户的重要事件
5 NOTICE（注意）	不会影响正常功能，但是需要注意的事件
6 INFO（信息）	一般信息
7 DEBUG（调试）	程序或系统调试信息等
（2）公共日志文件的记录格式
文件位置：/var/log/messages
1.时间标签：消息发出的日期和时间
2.主机名：生成消息的计算机的名称
3.子系统名称：发出消息的应用程序的名称
4.消息：消息的具体内容

四、 实验

关闭防火墙和保护
systemctl stop firewalld
setenforce 0
①第一步
vim /etc/rsyslog.conf
在 RULES #模块中设置ssh服务的local等级为local6并设置日志存路径为/mnt/ssh.logs，如下图。
要把local7.*前加#注释才能运行local6
②第二步在ssh服务的服务器端配置文件中(/etc/ssh/sshd_conf)修改自定义rsyslog，如下图
vim /etc/ssh/sshd_config

③重启sshd服务和rsyslog服务

ssh连接本机ip再tail -f /mnt/ssh.logs查看日志