系统日志分析 之 日志的采集与查看
系统日志的采集
日志是由进程生成
1.rsyslog 服务
此服务是用来采集系统日志的，他不产生日志，只是起到采集作用
2.rsyslog服务的管理
| /var/log/messages | 该文件储存服务信息日志 |
| /var/log/secure | 该文件储存登陆日志 |
| /var/log/cron | 该文件储存定时任务日志 |
| /var/log/maillog | 该文件储存邮件日志 |
| /var/log/boot.log | 该文件储存系统启动日志 |
3.指定日志采集路径
/etc/rsyslog.conf ##编辑 rsyslog 服务的配置文件
什么类型的日志 . 什么级别的日志 /var/log/filename ##日志的采集规则
日志类型分为：
| auth | pam产生的日志 |
| authpriv | ssh,ftp等登陆信息的验证信息 |
| cron | 时间任务相关 |
| kern | 内核 |
| lpr | 打印 |
| 邮件 | |
| mark(syslog)-rsyslog | 服务内部的信息，时间标识 |
| news | 新闻组 |
| user | 用户程序产生的相关信息 |
| uucp | unix to unix copy,unix 主机之间相关的通讯 |
| local 1-7 | 自定义的日志设备 |
日志级别分为：
| debug | 有调试信息的，日志信息最多 |
| info | 一般信息的日志，最常用 |
| notice | 最具有重要性的普遍条件的信息 |
| warning | 警告级别 |
| err | 错误级别，组织某个功能或模块不能正常工作的信息 |
| crit | 严重级别，组织整个系统或整个软件不能正常工作的信息 |
| alert | 需要立刻修改的信息 |
| emerg | 内核崩溃等严重信息 |
| none | 什么都不记录 |
注意：从上到下，级别从低到高，记录信息越来越少
详细日志级别信息可以查看手册 ：man 7 rsyslog
操作示例：
目的：
把系统中所有日志采集到/var/log/westos文件中
操作：
vim /etc/rsyslog.conf
*.* /var/log/westos ##文件第57行左右
systemctl restart rsyslog ##重启服务
编辑日志采集文件 将所有日志采集到/var/log/westos
测试：
systemctl restart sshd ##此命令为了生成日志
cat /var/log/westos ##此文件中出现日志信息
4.日志的远程同步
在日志的发送方：
vim /etc/rsyslog.conf ##更改日志管理的配置文件
*.* @172.25.254.202 ##@表示使用udp协议的发送 @@表示使用tcp协议的发送 后面跟日志的接受方ip 第57行左右
systemctl restart rsyslog ##重新j加载
在日志发送方编辑配置文件 发送日志
日志的接收方：
vim /etc/rsyslog.conf
15 $MODLOAD Imudp ##开启日志的接收模块
16 $UDPSereverRun 514 ##开启日志接收端口
systemctl restart rsyslog
systemctl stop firewalld ##关闭防火墙，当防火墙打开时，日志不能传输过来
systemctl disable firewalld ##设定防火墙开机关闭
在日志接收方编辑配置文件 打开接收端口
在日志接收方关闭防火墙并重新加载服务
测试：
在发送方和接受方都清空日志：
> /var/log/messages
在日志的发送方：
logger test ## j建立日志
cat /var/log/messages ##查看日志是否生成
发送方建立日志
在日志的接收方查看：
cat /var/log/messages
可以在接收方查看到建立的test日志
注意：在编辑好配置文件后需要重新加载服务 在关闭防火墙之后也需要加载服务
5.日志采集格式的设定
vim /etc/rsyslog .conf
$template WESTOS, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n" ##设定日志采集格式
| %timegenerated% | 显示日志时间 |
| %FROMHOST-IP% | 显示主机ip |
| %syslogtag% | 日志记录目标 |
| %msg% | 日志内容 |
| \n | 换行 |
编辑日志的采集格式
当编辑配置文件出现语法错误时会出现以下内容
*.* /var/log/westos;WESTOS ##在指定的日志中采用WESTOS格式
$ActionFileDefultTemlate WESTOS ##修改系统默认日志采集格式为WESTOS
cat /var/log/westos ##可以观察到该文件内容在设定后日志的采集格式为WESTOS格式
修改系统默认日志的采集格式为WESTOS
指定某个文件的日志采集格式
6.日志时间同步设定(主机时间的同步）
服务名称：chronyd
在服务端：
vim /etc/chrony.conf ##编辑该服务的配置文件
22 allow172.25.254.0/24 ##允许那些客户端来同步本机时间 网络号与172.25.254相同的可以同步本机时间
29 local stratum 10##本机不同步任何主机的时间，本纪作为时间源
systemctl restar chronyd
在服务端编辑配置文件 允许相应主机的ip连接
在客户端：
vim /etc/chrony.conf
server172.25.254.102 ##本机立刻同步102主机时间
systemctl restart chronyd
执行命令后如图所示 与远程主机时间同步
测试：
在客户端执行：
chronyc sources -v
执行该命令后 如图所示 ^ * 表示建立了同步关系
timedatectl 命令
管理系统时间命令 ：timedatectl
timedatectl status ##显示当前时间信息 （可以加也可以不加status 不加表示默认)
timedatectl set-time 09:11 ##设定当前时间为09：11
timedatectl set-timezone Asia/Shanghai ##设定当前时区为亚洲上海
timedatectl list-timezones ##查看支持的所有时区
timedatectl set-local-rtc 0|1 ##设定是否使用utc时间 使用utc国际时间则本机时间为utc加时区差
设定当前时区为上海
设定当前时间为09：11
查看支持的时区 使用分页浏览
utc 与rtc
日志查看
- journalctl 日志的查看工具
journalctl -n 3 ##查看最近的三条日志
journalctl -p err ##查看错误日志
journalctl -o verbose ##查看日志的详细参数
journalctl --since ##查看从什么时间开始的日志
journalctl --until ##查看到什么时间为止的日志
查看最近三条命令
查看错误日志
查看从2019-07-17 04：39：25开始的日志
查看从2019-04：39：25到04：39：27的日志
2.如何使用systemd-journald 保存系统日志
默认systend-journald是不保存系统日志到硬盘的，关机后再次开机只能看到本次开机之后的日志，上次关机之前的日志是无法查看的
保存系统日志到硬盘：
mkdir/var/log/journal
chgrp systemd-journal /var/log/journal
chmod g+s /var/log/journal
killall -1 systemd-journald
ls /var/log/journal
946cb0e817ea4ad916183df8c4fc817 ##产生的数据文件 日志信息
在设定配置文件之前 查看系统日志为
重启系统后 之前的日志丢失
设定相应可以储存系统日志地文件
再次重启系统 可以发现日志没有丢失
