linux+采集+命令,Linux 基础 之 日志采集 及 at 命令
1.日志采集规则
*.* 文件名称
日志类型.日志级别 日志存放文件
auth #用户登陆日志(pam生产日志)
authpriv #服务认证日志(sshd认证)
kern #内核日志
cron #定时任务日志
lpr #打印机日志
mail #邮件日志
news #新闻
user #用户相关程序日志
local #用户自定义日志
#日志级别
debug #系统调试信息
info #常规信息
warning #警告信息
err #报错(级别低，阻止了某个功能不能正常工作)
crit #报错(级别高，组织整个软件或整个系统不能正常工作)
alert #需要立即修改信息
emerg #内核崩溃
none #不采集任何日志信息
日志可以直接看出系统中的错误，日志在内存里，由服务决定
vim /etc/rsyslog.conf #查看并修改采集日志文件配置，为了让我们把日志采用到指定位置
auth.debug /var/log/westos #用户登陆的调试信息放到/var/log/westos
auth.*
*.* /var/log/log.all
#系统常用日志
/var/log/messages #所有日志级别的常规信息(不包含邮件，服务认证，定时任务)
/var/log/maillog #邮件日志
/var/log/crog #定时任务日志
/var/log/secure #服务认证日志
实验步骤：
vim /etc/rsyslog.conf
*.* /var/log/westos
ls /var/log/westos
systemctl restart rsyslog.service #重启rsyslog系统
cat /var/log/westos
2.日志的远程同步
> /var/log/messages #清空日志
> /etc/rc.d/rc.local #清空虚拟机一直产生的日志和脚本
##在日志发送方(客户端)
vim /etc/rsyslog.conf
*.* @172.25.254.100 #日志接收方地址
systemctl restart rsyslog.service
systemctl restart sshd.service #重启后在接收方可以看到日志
##在日志接收方(服务端)
vim /etc/rsyslog.conf
15 $ModLoad imudp #打开插件
16 #$UDPServerRun 514 #打开插件接口
systemctl restart rsyslog.service
systemctl stop firewalld
systemctl disable firewalld #关闭防火墙对接收的屏蔽
3.定义日志采集格式
vim /etc/rsyslog.conf
$template 格式名称，“日志采集格式”
*.info;mail.none;authpriv.none;cron.none /var/log/messages;格式名称
$template westos,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n" (在rules下写)
%timegenerated% #日志生成时间
%FROMHOST-IP% #日志来源主机的IP
%syslogtag% #日志生成程序
%msg% #日志内容
\n #换行
*.info;mail.none;authpriv.none;cron.none /var/log/messages;westos
4.
journalctl ##日志查看工具，直接查看内存中的日志
journalctl -n 3 ##查看最近日志的前三行
journalctl -p err ##查看日志中的错误
journalctl -f ##用户ctrl+c结束监控
journalctl --since 时间点 --until 时间点
journalctl -o verbose ##查看日志详细参数 例如：_PID=651 journalctl _PID=651
实验步骤：
systemctl status sshd ##查看pid
systemctl restart sshd ##重开启一个sshd，每重启一次PID就会不一样
journalctl -o verbose 在这里面找想看到的PID(/_PID)
5.对systemd-journald管理
默认此程序只负责对日志进行查看而不对日志进行保存和采集
那么关机后再开机，对日志进行查看，只能查看到开机后的日志，系统之前的日志因为是保存在内存中的，所以关机后就被清空了，那么在开机是用journalctl看不到
如何让systemd-journald保存日志到硬盘中
mkdir /var/log/journal
chown root.systemd-journal /var/log/journal
chmod g+s /var/log/journal
killall -1 systemd-journald
journalctl -n 3
date
reboot
journalctl
qqqqqqqqqqqqqqqqqqqqqs
6.时间同步
在服务器端共享时间：
vim /etc/chrony.conf
29 local stratum 10 ##开启时间共享功能并设定共享级别
##这个参数开启后本机不去同步别人的时间到本机
22 allow 172.25.254.0/24 ##允许那些客户端来访问本机共享的时间
systemctl restart chronyd
在客户端：
vim /etc/chrony.conf
server 172.25.254.100 iburst
systemctl restart chronyd
chronyc sources -v
210 Number of sources = 1
.-- Source mode '^' = server, '=' = peer, '#' = local clock.
/ .- Source state '*' = current synced, '+' = combined , '-' = not combined,
| / '?' = unreachable, 'x' = time may be in error, '~' = time too variable.
|| .- xxxx [ yyyy ] +/- zzzz
|| / xxxx = adjusted offset,
|| Log2(Polling interval) -. | yyyy = measured offset,
|| \ | zzzz = estimated error.
|| | |
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^* 172.25.254.128 10 6 17 0 +6500ns[ +111us] +/- 988us
7.时间修改
timedatectl list-timezones ##查找所有时区时间
timedatectl set-timezone Asia/Shanghai ##修改时间
timedatectl ##查看时间
date
timedatectl set-local-rtc 0 ##使用UTC时间
vim /etc/adjtime
timedatectl set-local-rtc 1 ##使用当地时间
vim /etc/adjtime
timedatectl set-time “2018-11-11 11：11：11” ##修改时间
at
at 时间
at now+5min
监控watch -n 1 ls /mnt/at 时间
>touch /mnt/file{1..10}
> 按ctrl+d
at -l #查看内容的编号
at -r 编号 #删除内容
at -c 编号 #查看内容
vim /etc/at.deny ##at下的黑名单
vim /etc/at.allow ##白名单
白名单出现黑名单失效，除了root和白名单的人其余人都不能用at延迟
