【运维基础篇】-Linux下实时监控服务器文件变化工具inotify-tool

说明：

服务器系统：CentOS

文件目录：/home/web/os

实现目的：

当/home/web/os目录下，除cache文件之外，任何文件发生变化时，记录日志并保存。

具体操作：

一、了解Inotify-tools工具

1、查看服务器内核是否支持inotify

通过命令ll /proc/sys/fs/inotify列出文件目录，若出现下面的内容，说明服务器内核支持inotify

-rw-r--r-- 1 root root 0 Mar 7 02:17 max_queued_events

-rw-r--r-- 1 root root 0 Mar 7 02:17 max_user_instances

-rw-r--r-- 1 root root 0 Mar 7 02:17 max_user_watches

备注：Linux下支持inotify的内核最小为2.6.13，可以输入命令：uname -a查看内核

CentOS 5.X 内核为2.6.18，默认已经支持inotify

2、安装inotify-tools

yum install make gcc gcc-c++ 安装编译工具

inotify-tools下载地址：http://github.com/downloads/rvoicilas/inotify-tools/inotify-tools-3.14.tar.gz

上传inotify-tools-3.14.tar.gz到/usr/local/src目录下

cd /usr/local/src

tar zxvf inotify-tools-3.14.tar.gz 

cd inotify-tools-3.14

./configure --prefix=/usr/local/inotify 

make #编译

make install #安装

3、设置系统环境变量，添加软连接

echo "PATH=/usr/local/inotify/bin:$PATH" >>/etc/profile.d/inotify.sh

source /etc/profile.d/inotify.sh #使设置立即生效

echo "/usr/local/inotify/lib" >/etc/ld.so.conf.d/inotify.conf

ln -s /usr/local/inotify/include /usr/include/inotify

4、修改inotify默认参数(inotify默认内核参数值太小)

查看系统默认参数值

sysctl -a | grep max_queued_events

结果是：fs.inotify.max_queued_events = 16384

sysctl -a | grep max_user_watches

结果是：fs.inotify.max_user_watches = 8192

sysctl -a | grep max_user_instances

结果是：fs.inotify.max_user_instances = 128

执行下面命令修改参数：

sysctl -w fs.inotify.max_queued_events="99999999"

sysctl -w fs.inotify.max_user_watches="99999999"

sysctl -w fs.inotify.max_user_instances="65535"

vim /etc/sysctl.conf #添加以下代码

fs.inotify.max_queued_events=99999999

fs.inotify.max_user_watches=99999999

fs.inotify.max_user_instances=65535

:wq! #保存退出

参数说明：
max_queued_events：inotify队列最大长度，如果值太小，会出现"** Event Queue Overflow **"错误，导致监控文件不准确
max_user_watches：要同步的文件包含多少目录，可以用：find /home/os -type d | wc -l 统计，必须保证max_user_watches值大于统计结果(这里/home/os为同步文件目录)
max_user_instances：每个用户创建inotify实例最大值

二、创建实时监控脚本

mkdir -p /home/inotify 创建目录

vim /home/inotify/inotif.sh #编辑

#!/bin/sh

/usr/local/inotify/bin/inotifywait -mrq -e modify,create,move,delete --fromfile '/home/inotify/excludedir' --timefmt '%y-%m-%d%H:%M' --format '%T %f %e' /home/web/os/ >> /tmp/rsync.txt

:wq! #保存退出

vim /home/inotify/excludedir #编辑

/home/web/os/ #监测的目录

@/home/web/os/cache/ #排除不监测的目录

:wq! #保存退出

chmod +x /home/inotify/inotif.sh #添加执行权限

vim /etc/rc.d/rc.local #编辑，在最后添加一行,开机自动执行

sh /home/inotify/inotif.sh

:wq! #保存退出

如果/home/web/os/目录下面有任何文件发送变化，/tmp/rsync.txt文件中都会记录。

至此，Linux下用inotify-tool实时监控服务器文件完成。

配置实例

监控/root/demo/目录下所有文件的所有事件：

inotifywait -mrq --format '%T %e %w%f' --timefmt '%F %H:%M:%S' /root/demo/

监控/root/demo/目录下所有文件的create，modify，delete和attrib事件

inotifywait -mrq --format '%T %e %w%f' --timefmt '%F %H:%M:%S' -e create,modify,delete,attrib /root/demo/

监控/root/demo/目录下所有文件的create，modify，delete和attrib事件，输出监控记录到/root/inotify.log

inotifywait -mrq --format '%T %e %w%f' --timefmt '%F %H:%M:%S' -e create,modify,delete,attrib --outfile /root/inotify.log /root/demo/

监控/root/demo/目录下所有文件的create，modify，delete和attrib事件，输出监控记录到/root/inotify.log，忽略目录中的swp，swx和~结尾的文件

inotifywait -mrq --format '%T %e %w%f' --timefmt '%F %H:%M:%S' -e create,modify,delete,attrib --outfile /root/inotify.log --excludei '^.*(.swp|.swx|~)$' /root/demo/

文章转载于https://blog.youkuaiyun.com/weixin_39581896/article/details/116712758