8-1 Log

rhce认证考试笔记

8-1 日志管理 rsyslog,systemd-journald kernel,sshd,vsftpd.... 应用程序自带的处理： httpd,mysqld,nginx.... ========================================================= System logging 一、基本概念 1. 产生日志的对象： Processes and the operating system kernel 2. 处理日志的服务： systemd-journald and rsyslog [root@server0 ~]# systemctl status systemd-journald.service [root@server0 ~]# systemctl status rsyslog.service 3. 常见的系统日志： /var/log/messages /var/log/secure sshd,su,login /var/log/maillog /var/log/cron /var/log/boot.log /var/log/dmesg 二、如何处理日志 /etc/rsyslog.conf man 3 syslog 设备 facility 级别 level #authpriv.* /var/log/secure authpriv.* @172.25.254.8 mail.* -/var/log/maillog RULES: 定义哪种设备 的哪种日志 以及处理方式 示例：重新定义sshd的日志 1. 修改sshd服务 [root@server0 ~]# vim /etc/ssh/sshd_config SyslogFacility LOCAL6 [root@server0 ~]# systemctl restart sshd.service 2. rsyslog.conf local6.* /var/log/sshd.log [root@server0 ~]# systemctl restart rsyslog.service [root@server0 ~]# systemctl restart systemd-journald.service 三、Send a syslog message with logger [root@server0 ~]# logger "System rebooted" [root@server0 ~]# logger -p emerg "System rebooted" [root@server0 ~]# logger -n 172.25.254.8 -p emerg "System rebooted" [root@server0 ~]# logger -p http://wendang.chazidian.com "hello..." 小提示：打开远程日志接收功能 (实现集中式的日志管理) [root@foundation8 ~]# vim /etc/rsyslog.conf # Provides UDP syslog reception $ModLoad imudp $UDPServerRun 514 [root@foundation8 ~]# systemctl restart rsyslog.service systemd-journald.service [root@server0 ~]# firewall-cmd --permanent --add-port=514/udp [root@server0 ~]# firewall-cmd --reload 四、查看／分析／检查日志 轻量级：grep, awk, journalctl 重量级：splunk, logstash... Finding events with journalctl [root@server0 ~]# journalctl [root@server0 ~]# journalctl -n [root@server0 ~]# journalctl -xn [root@server0 ~]# journalctl -xn 5 [root@server0 ~]# journalctl --since "2014-02-10 20:30:00" --until "2014-02-13 12:00:00" [root@server0 ~]# journalctl --since today [root@server0 ~]# journalctl -f [root@server0 ~]# journalctl _PID=1 [root@serverX ~]# journalctl _SYSTEMD_UNIT=sshd.service _PID=1182 五、轮转（切割）日志文件 Log file rotation 系统自带：logrotate 可以针对任何文件 轮转规则：/etc/logrotate.conf, /etc/logrotate.d/* 轮转方法： 1. 手动轮转 [root@server0 ~]# logrotate /etc/logrotate.conf 2. 自动轮转 cron---->anacron (/etc/cron.daily/logrotate) 轮转规则： /etc/logrotate.conf, /etc/logrotate.d/* [root@server0 ~]# vim /etc/logrotate.conf /var/log/wtmp { monthly //轮转的周期 create 0664 root utmp //轮转后创建新文件，及权限 mi

rhce认证考试笔记

nsize 1M //最小达到1M rotate 1 //保留的备份文件为1份 } [root@server0 ~]# vim /etc/logrotate.d/yum /var/log/yum.log { missingok //轮转时，发现文件不丢失不提醒 notifempty //空文件，不轮转 size 30k //达到30k轮转 yearly //轮转周期 create 0600 root root } [root@server0 ~]# grep yum /var/lib/logrotate.status "/var/log/yum.log" 2014-12-7-12:24:24