Linux之日志管理

Posted on Edited on In , Views: Word count in article: 2.2k Reading time ≈ 2 mins.

概述

  • 日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等。

  • 日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。

  • /var/log/目录就是系统日志文件的保存位置：

  • 系统中常用日志：

日志管理服务

  • CentOS7.6日志服务是rsyslogd，CentOS6.x日志服务是syslogd。rsyslogd 功能更强大。rsyslogd的使用、日志文件的格式，和syslogd服务是兼容的。原理示意图：

    • 查询Linux中的rsyslogd服务是否启动：

      1
      ps -aux |grep rsyslogd |grep -v grep

    • 查询rsyslogd服务的自启动状态：

      1
      systemctl list-unit-files |grep rsyslog

    • 配置文件/etc/rsyslog.conf：

      • 编辑文件时的格式为：*.*，其中第一个代表日志类型，第二个代表日志级别。

      • 日志类型分为：

      • 日志级别分为：

日志轮替

  • 日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除。

  • 日志轮替文件命名：

    • centos7使用logrotate进行日志轮替管理，要想改变日志轮替文件名字，通过/etc/logrotate.conf配置文件中“dateext”参数：

      • 如果配置文件中有“dateext”参数，那么日志会用日期来作为日志文件的后缀，例如“secure-20201010”。这样日志文件名不会重叠，也就不需要日志文件的改名，只需要指定保存日志个数，删除多余的日志文件即可。
      • 如果配置文件中没有“dateext”参数，日志文件就需要进行改名了。当第一次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志，用来保存新的日志。当第二次进行日志轮替时，“secure.1”会自动改名为“secure.2”，当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来保存新的日志，以此类推。

    • /etc/logrotate.conf为logrotate的全局配置文件：

      1
      2
      3
      4
      5
      6
      7
      8
      9
      10
      11
      12
      13
      14
      15
      16
      17
      18
      19
      20
      21
      22
      23
      24
      25
      26
      27
      28
      29
      30
      31
      32
      33
      34
      35
      # see "man logrotate" for details
      # rotate log files weekly
      weekly # 每周对日志文件进行一次轮替

      # keep 4 weeks worth of backlogs
      rotate 4 # 共保存4份日志文件，当建立新的日志文件时，旧的将会被删除

      # create new (empty) log files after rotating old ones
      create # 创建新的空的日志文件，在日志轮替后

      # use date as a suffix of the rotated file
      dateext # 使用日期作为日志轮替文件的后缀

      # uncomment this if you want your log files compressed
      #compress # 日志文件是否压缩。如果取消注释，则日志会在转储的同时进行压缩

      # RPM packages drop log rotation information into this directory
      include /etc/logrotate.d # 包含/etc/logrotate.d/目录中所有的子配置文件，也就是说会把这个目录中所有子配置文件读取进来，例如boot.log

      # no packages own wtmp and btmp -- we'll rotate them here
      /var/log/wtmp {
          monthly
          create 0664 root utmp
              minsize 1M
          rotate 1
      }

      /var/log/btmp {
          missingok
          monthly
          create 0600 root utmp
          rotate 1
      }

      # system-specific logs may be also be configured here.

  • 日志轮替机制原理。

    • 日志轮替之所以可以在指定的时间备份日志，是依赖系统定时任务。在/etc/cron.daily/目录，就会发现这个目录中是有logrotate文件（可执行），logrotate通过这个文件依赖定时任务执行的。

内存日志

  • journalctl可以查看内存日志，其常用指令如下：

    1
    2
    3
    4
    5
    6
    7
    # 注意：journalctl查看的是内存日志，重启清空
    journalctl # 查看全部
    journalctl -n 3 # 查看最新3条
    journalctl --since 19:00 --until 19:10:10 # 查看起始时间到结束时间的日志可加日期
    journalctl -p err # 报错日志
    journalctl -o verbose # 日志详细内容
    journalctl _PID=1245 _COMM=sshd # 查看包含这些参数的日志（在详细日志查看），或者使用journalctl |grep sshd