日志管理-简介（rsyslog服务）

前言

• 在Windows下的日志，或这个应用程序所产生的日志，记录操作系统或者对应的程序在运行过程当中出现的一些情况，由正确的日志，由哪些人访问我，由哪些人曾经用过我。也有错误日志，什么时间段什么时间报了一个什么样的错误。就比如进入一个大厦，用一个工具，需要前一个表格，才能领取这个工具，或这个进入这个房间。
• 这个日志平常不起眼，一旦我们的操作系统或者应用程序出现了一些问题，比如说报错了，不能正常访问了，被人攻击了，这个日志就是一个重要的记录手段，通过查询他就应该知道，到底哪些地方出了问题。日志起了一个监控的作用。 如果服务区出问题了，要先查看日志，通过日志，分析判断出现了什么问题，然后再来解决。
  天天都需要查看 天天都需要分析。

1. 日志服务

在centos 6.x中日志服务已经有rsyslogd取代了原先的syslogd服务。rsyslogd日志服务更加先进，功能更多。但是不论该服务的使用，还是日志文件的格式其实都是和syslogd服务相兼容的，所以学习起来基本和syslogd服务一致。

rsyslogd的新特点：

基于TCP网络协议传输日志信息；
更安全的网络传输方式；
有日志消息的及时分析框架；
后台数据库；
配置文件中可以写简单的逻辑判断；
与syslog配置文件相兼容
 

2. 确定服务启动

Rsyslogd服务都前面学习的定时任务都是默认启动的，默认开机自启动的

命令： ps aux | grep rsyslogd
作用：查看服务是否启动

命令： chkconfig --list | grep rsyslog
作用：查看服务是否自启动

3. 常见日志的作用

/var/log目录是是保存系统的默认值的

日志文件	说明
/var/log/cron	记录了系统定时任务的相关的日志
/var/log/cups/	记录打印信息的日志
/var/log/dmesg	记录了系统在开机时内核自检的信息。也可以使用dmesg命令直接查看内核自检信息
/var/log/btmp	记录错误登录的日志。这个文件时二进制文件，不能直接vi查看，而要使用lastb命令查看
/var/log/lastlog	记录系统中所有用户最后一次的登录时间的日志。这个文件也是二进制文件，不能直接vi，而要使用lastlog命令查看
/var/log/mailog	记录邮件信息
/var/log/message	记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息，如果系统出现问题，首先要检查的就应该是这个日志文件
/var/log/secure	记录验证和授权方面的信息，只要涉及账户和密码的程序都会记录。比如说系统的登录，ssh的登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中。
/var/log/wtmp	永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件是一个二进制文件，不能直接vi，而需要使用last命令来查看。
/var/run/utmp	记录当前已经登录的用户的信息。这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息。同样这个文件不能直接vi，而要使用w，who，users等命令来查询。

小提示：
（1） w命令实际读取的还是/var/run/utmp这个日志。
（2） 除了系统默认的日志之外，采用RPM方式安装的系统服务也会默认把日志记录在/var/log/目录中（源码包安装的服务日志是在源码包指定目录中，一般在/usr/local下）。不过再写日志不是有rsyslogd服务来记录和管理的，而是各个服务使用自己的日志管理文档来记录自身日志。

3.1 RPM包常见服务的日志

日志文件	说明
/var/log/httpd/	RPM包安装的apache服务的默认日志目录
/var/log/mail/	RPM包安装的邮件服务的额外日志目录
/var/log/samba/	RPM包安装的samba服务的日志目录
/var/log/sssd	守护进程安全服务目录

提示： 源码包安装的服务日志是在源码包指定目录中，一般在/usr/local下