linux记录端口访问日志,Linux日志管理

一、日志管理

日志：一个文件，记录当前系统、用户、程序的工作状态

1.目录位置

(1)系统、用户、RPM(YUM)安装：/var/log/目录下

(2)源码安装：安装目录下，log目录

(3)anaconda(响应程序，用于运行图形化安装向导)，安装过程产生日志/var/log/anaconda.*

anaconda快捷键：Ctrl+Alt+F3(查看安装过程中网络情况)、Ctrl+Alt+F4(查看安装过程中内核情况)、Ctrl+Alt+F5(查看安装过程中的详细安装情况)、Ctrl+Alt+F6(回到安装向导)

2.日志文件分类

二进制日志文件：不能支持查看，只能通过特有命令调用日志文件查看

普通文件日志：可直接查看，如cat、tail -f等

(1)常见系统日志

/var/log/anaconda.* //记录系统安装系统中相关运行情况

/var/log/audit/ //记录audit(审计)情况

/var/log/boot.log //记录启动过程中的内核情况

/var/log/btmp //记录所有用户登陆失败的信息(该日志文件不能直接查看)

/var/log/ConsoleKit/ //记录终端相关情况

/var/log/cron //记录crontab计划任务情况

/var/log/dmesg //记录引导过程中相关硬件工作情况

/var/log/dracut.log //记录initramfs(小型Linux系统)状态

/var/log/lastlog //记录用户登陆信息

/var/log/maillog //记录邮件情况

/var/log/messages //记录内核、系统、程序等综合性情况

/var/log/ntpstats/ //记录ntp时间同步信息

/var/log/prelink/ //记录prelink程序工作情况(预链接工具)

/var/log/wtmp //记录所有用户登陆成功的信息

/var/log/sa/ //记录sar(性能统计工具，分析性能)情况

/var/log/secure //记录hu安全认证情况(PAM认证)、一般记录密码情况

/var/log/spooler //保存特殊文件的情况，并只记录crit级别日志

/var/log/tallylog //记录pam认证相关内容

/var/log/yum.log //记录yum安装情况

(2)wtmp、btmp、lastlog日志文件查看

lastlog //查看系统登录成功情况(读取/var/log/wtmp)

last或logb //查看系统登录失败的信息(读取/var/log/btmp)

w或who //查看当前已登录用户信息(读取/var/log/lastlog)

3.日志格式

(1)Jun 25 10:16:53 hiahia abrtd:init complete.entering main loop

发生时间 主机名 程序名：事件

(2)08:33:24,071 INFO :Copying anaconda logs

发生时间 日志级别/程序名：事件

4.日志级别

0(EMERG)紧急：系统不可用

1(ALERT)警告：必须马上采取措施

2(CRIT)严重：比较严重的错误

3(ERR)错误：软件运行出现错误

4(WARNING)提醒：可能影响系统功能，给出用户提醒

5(NOTICE)注意：不会影响系统功能，给出用户提醒

6(INFO)信息：一般信息

7(DEBUG)调试：程序或系统调试信息

注：一般程序记录日志级别为3、4、6、7比较常见

二、远程日志管理案例

部署服务端

1.关闭防火墙和selinux

/etc/init.d/iptables stop //清空防火墙规则

setenforce 0 //临时允许Selinux

2.开启rsyslog服务的514号端口

vim /etc/rsyslog.conf

:se nu(显示行号)

$ModLoad imudp //13行，删除#

$UDPServerRun 514 //14行，删除#

$ModLoad imtcp //17行，删除#

$InputTCPServerRun 514 //18行，删除#

3.编写配置文件

grep fromhost -r /usr/share/doc/rsyslog*

vim /etc/rsyslog.d/remote.conf //新建配置文件

:fromhost-ip,isequal, "192.168.12.41" /var/log/remote-1.log //客户端服务器的IP地址

:fromhost-ip,isequal, "192.168.12.41" ~ ## 添加~后客户端的信息只保存在上面的文件中

:fromhost-ip,isequal, "192.168.12.42" /var/log/remote-2.log

:fromhost-ip,isequal, "192.168.12.42" ~

/etc/init.d/rsyslog restart //重启远程日志文件

netstat -utpln |grep 514 //查看是否开启服务的514端口

部署客户端-1

1.关闭防火墙和selinux

/etc/init.d/iptables stop //清空防火墙规则

setenforce 0 //临时允许Selinux

2.编辑配置文件

vim /etc/rsyslog.conf ##注释定义存到本地日志文件的行(34-61) :34,63s/^/#/g

*.* @@(o)192.168.12.40:514 ##79行,,两个@是走TCP(o)是为后面的端口号用

/etc/init.d/rsyslog restart //重启远程日志服务

部署客户端-2

1.关闭防火墙和selinux

/etc/init.d/iptables stop //清空防火墙规则

setenforce 0 //临时允许Selinux

2.编辑配置文件

vim /etc/rsyslog.conf ##注释定义存到本地日志文件的行(34-61) :34,63s/^/#/g(如不注释则本地远程各存一个日志信息)

*.* @@(o)192.168.12.40:514 ##79行,,两个@是走TCP(o)是为后面的端口号用

/etc/init.d/rsyslog restart //重启远程日志服务

验证

客户端-1：logger "123" //去服务端(tail -f /var/log/remote-1.log)查看

客户端-2：logger "123" //去服务端(tail -f /var/log/remote-2.log)查看