Linux系统中对日志的同步及管理

1.系统日至默认分类

命令	功能
/var/log/messages	系统服务及日志，包括服务的信息，报错等等
/var/log/secure	系统认证信息日志
/var/log/maillog	系统邮件服务信息
/var/log/cron	系统定时任务信息
/var/log/boot.log	系统启动信息

2.日志管理服务rsyslog

1.rsyslog负责采集日志和分类存放日志
2.rsyslog日志分类

vim /etc/rsyslog.conf	     ##主配置文件

格式：

日志设备（类型）.日志级别		/存放文件
*.*			/var/log/westos

systemctl restart rsyslog     ##重起服务

日志设备（日志类型）：

auth	pam产生的日志
authpriv	ssh,ftp等登录信息的验证信息
cron	时间任务相关
kern	内核
lpr	打印
mail	邮件
mark(syslog)–rsyslog	服务内部的信息,时间标识
news	新闻组
user	用户程序产生的相关信息
uucp	unix to unix copy, unix主机之间相关的通讯
local 1~7	自定义的日志设备

日志级别：

debug	有调试信息的，日志信息最多
info	一般信息的日志，最常用
notice	最具有重要性的普通条件的信息
warning	警告级别
err	错误级别，阻止某个功能或者模块不能正常工作信息
crit	严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert	需要立刻修改的信息
emerg	内核崩溃等严重信息
none	什么都不记录

注意：从上到下，级别从低到高，记录的信息越来越少
详细的可以查看手册: man 3 syslog

链接符号

.xxx: 表示大于等于xxx级别的信息
.=xxx：表示等于xxx级别的信息
.!xxx：表示在xxx之外的等级的信息

3.日志同步

systemctl stop firewalld 		##关闭两台主机的火墙

配置日志发送方

*.*             @172.25.254.136		##通过udp协议把日志发送到136主机，@udp，@@tcp

配置日志接受方

 $ModLoad imudp		        ##日志接收插件
 $UDPServerRun 514			##日志接收插件使用端口

因为在服务端使用的是一个@符号，故使客户端的UDP日志接收插件等的注释去掉，即收发两方的协议必须相同

测试

> /var/log/messages			   ##两边都作
logger test messages           ##日志发送方
cat /var/log/messages          ##查看日志

tail -f /var/log/message       ##日志接收方

若在使用查看日志时出现某一行出错，则将其文件删掉后重起
如50行出错

服务端清空日志，测试日志

客户端可以查看服务端日志

4.日志采集格式

$template WESTOS, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

%timegenerated%	显示日志时间
%FROMHOST-IP%	显示主机ip
%syslogtag%	日志记录目标
%msg%	日志内容
\n	换行

注：格式名称必须是大写， “参数”参数两边都有% 参数写在什么位置生成的日志对应参数就在相应的位置 不加换行不会自动换行
参数中间加的分隔符会显示到日志中 出现invalid property name报错是参数写错 在使用该格式的日志文件后加；和格式名称
如果是给别的主机发送就在接收方的/etc/rsyslog.conf下设置同样的格式即可， 否则发送的会以接收方的格式显示
即在哪查看以哪的标准显示

编辑服务端主文件

重起使用test2测试

客户端查看

发现文件的格式没有改变，因为只在服务端做了格式修改而在客户端没有修改
客户端做同样修改

再次查看发现格式改变

5.时间同步

编辑服务，设定时间源
重起服务
服务端关闭防火墙，防火墙不允许别的主机访问或向本机发送数据包

23行 把时间共享出去，允许谁去同步我的时间，allow 172.25.136/24 只要前三个数字相同就可以访问
30行 local stratum 10 表示时间源的级别，本机不同步任何主机的时间，本机作为时间源

客户端

vim /etc/chrony.conf

删掉原有的网址，设置服务端ip

访问端 只保留一行 server 后的是ip地址，iburst是指让更改立即生效

客户端测试：
<1>为了区别时间可以在客户端设置一个别的时间

<2>在未重启服务之前
chronyc sources -v查看当前的设置

<3>重启服务，再次查看，时间与服务端同步

timedatectl命令

命令	功能
timedatectl status	显示当前时间信息
timedatectl set-time " "	设置当前时间
timedatectl set-timezone	设定时区
timedatectl set-local-rtc 0/1	设定是否使用utc时间

设置本地时间


查看时区

设置时间

设置时区‘

6.journal

journalctl  ##日志查看工具

journalctl主要保证日志的时效性和详细性，保存，备份，以及定时删除日志不是他的特长，但是，他也可以实现
注：journalctl查到的是系统当前生成的日志；系统重启之后，内存断过电，保存的日志就会丢失，用journalct就查看不到日志；
而/var/log/messages文件里记录的是被采集过的日志，系统重启不影响其对日志的记录

命令	功能
journalctl -n 3	查看最近3条日志
journalctl -p err	查看错误日志
journalctl -o verbose	查看日志的详细参数
journalctl --since “时间点”	查看从什么时间开始的日志
journalctl --until “时间点”	查看到什么时间为止的日志
journalctl --since “时间点1” --until “时间点2”	查看从时间点1到时间点2为止的所有日志
journalctl _HOSTNAME=localhost	查看主机名为localhost的主机的日志

使用systemd-journald保存系统日志

默认systemd-journald是不保存系统日志到硬盘的
那么关机后再次开机只能看到本次开机之后的日志
上次关机之前的日志是无法查看的
想要查看关机之前的日志，首先：
创建日志文件，改变其组，给特殊权限

重新加载systemd-journald进程配置
查看日志内容

发现文件中的内容是当前机器的机器id
重起虚拟机
查看历史记录
就可以保存08：24：59以前的内容