34、日志文件管理与分析全攻略

日志文件管理与分析全攻略

1. 日志数据蕴含的信息

在服务器的运行过程中，我们能看到连接（“服务请求来自…”）和断开连接（“结束来自…的请求”）的记录，同时还会有这些状态转换之间详细的事件信息。这些中间事件能提供潜在有用的“距离”信息。例如，若POP服务器出现问题，我们可以查看上述输出中每个步骤所花费的时间。对于FTP服务器，通过这些数据我们能得出一些关于用户与网站交互的结论，像用户在传输文件前平均连接时长、用户在命令间是否长时间停顿、用户在下载同一文件前是否总会在网站的不同部分间切换等。这些间隙数据是信息的丰富来源。

2. 磁盘空间问题及解决办法

能提供详细日志输出的程序存在一个缺点，即这些输出会消耗大量磁盘空间。Unix、MacOS和Windows NT/2000这三种操作系统都存在此问题。其中，NT/2000可能是最不麻烦的，因为其中央日志记录功能有内置的自动修剪支持。MacOS没有中央日志记录功能，但它运行的服务器若有机会也会产生大量日志输出占满磁盘。通常，将日志文件控制在合理大小的任务由系统管理员负责。多数Unix供应商会随操作系统提供某种自动日志大小管理机制，但往往只处理机器自带的部分日志文件。一旦添加新服务产生单独的日志文件，就需要调整甚至舍弃供应商提供的解决方案。

2.1 日志轮转

解决磁盘空间问题的常见方法是日志轮转。当特定时间段过去或文件达到一定大小后，当前日志文件会被重命名，如改为logfile.0，然后日志记录会继续写入一个空文件。在下一个时间间隔或达到限制时，重复该过程，先将备份文件（logfile.0）重命名为另一个名称（如logfile.1），如此循环，直到创建了指定数量的备份文件，此时会删除最旧的备份