linux运维---系统日志的管理
1、rsyslog ##此服务时用俩采集系统日志，不生产日志，只是采集
2、rsyslog的管理
var/log/massage ##存储服务信息日志
var/log/secure ##存储系统登陆日志
var/log/cron ##存储定时任务日志
var/log/maillog ##存储邮件日志
var/log/boot.log ##存储系统启动日志
日志类型
suth ##pam产生的日志
authpriv ##ssh，ftp等登陆信息的验证信息
cron ##时间任务相关
kern ##内核
lpr ##打印
mail ##邮件
mark（syslog）-rsyslog ##服务内部的信息，事件标识
news ##新闻组
user ##用户程序产生的相关信息
uucp ##unix to copy，unix主机之间相关的通讯
local 1～7 ##自定义的日志设备
日志级别
debug ##有调式信息的，日志信息最多
info ##一般信息的日志，最常用
notice ##最具有重要性的普通条件的信息
warning ##警告级别
err ##错误级别，阻止某个功能或着模块不能正常工作的信息
crit ##严重级别，阻止整个系统或者整个软件不能呢个正常工作的信息
akert ##需要立即修改的信息
emerg ##内核崩溃等严重信息
none ##什么都不记录
3、日志的远程同步
1）
防火墙
systemctl stop firewalld ##关闭防火墙
systemctl disable firewalld ##设定防火墙开机关闭
systemctl status firewalld ##查看防火墙状态
在日志的发送方
vim /etc/rsyslog.conf
. @172.25.254.237 ##“@”表示用udp协议发送，“@@”表示用tcp发送
systemctl restart rsyslog ##重启
在日志的接收方
systemctl stop firewalld ##关闭防火墙
vim /etc/rsyslog.conf
15行 $ModLoad imudp ##日志接受模块
16行 $UDPServerRun 514 ##开启接收端口
systemctl restart rsyslog
测试
在发送方和接受方都清空日志文件— 用 > /var/log/messages命令
在日志的发送方输入测试命令— logger test
用 cat /var/log/messages ##查看日志已经生成
在日志的接收方查看是否已经收到 — cat /var/log/messages
2）
日志采集格式的设定
接收端主机
vim /etc/rsyslog.conf
$template WESTOS, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"
\
%timegenerated% ##显示日志时间 \
%FROMHOST-IP% ##显示主机ip |
%syslogtag% ##日志记录目标 |
%msg%\n ##日志内容 |
\n ##换行 |
*.* /var/log/messages;WESTOS 以WESTOS所定义的格式
修改后需要重启服务 systemctl restart rsyslog，再查看日志，可以看到修改的效果
5、journalctl
1）journalctl ##日志查看工具
journalctl -n 3 ##查看最近3条日志
journalctl -p err ##查看错误日志
journalctl --since "10:58" ##查看从什么时间开始的日志
journalctl --until "10:58" ##查看到什么时间为止的日志
journalctl -o verbose ##查看日志的详细参数
journalctl _PID=84
2）如何使用systemd-journald保存系统日志
默认systemd-journald是不保存系统日志到硬盘的，那么关机再开机只能看到本次开机后的日志，上次关机之前的日志时无法查看的。
需要保存，做如下操作:
关闭保存设置----删除建立的文件即可
rm -fr /var/log/journal