| 日志文件系统 | 您所在的位置：网站首页 › linux修改文件时间 › 日志文件系统 |
日志文件系统
|
文章目录
一、日志1、日志的功能2、日志文件的分类3、linux系统内核日志消息的优先级别4、日志保存位置5、日志包含的信息内容
二、用户日志分析1、保存了用户登录，退出系统等相关信息2、分析工具3、由相应的应用程序独立进行管理4、日志管理策略
三、日志实验1、将ssh服务日志单独存放2、配置日志服务器来收集日志
四、journalctl 日志管理工具1、查看所有日志2、查看内核日志3、查看系统本次启动的日志4、查看上一次启动的日志5、显示尾部指定行数的日志6、查看某个服务的日志7、查看指定进程的日志8、查看指定用户的日志9、journalctl -xe
五、把ssh服务的日志保存在KY29这个目录
一、日志
1、日志的功能
（1）用于记录系统，程序运行中发生的各种事件 （2）通过阅读日志，有助于诊断和解决系统故障 2、日志文件的分类（1）内核及系统日志 由系统服务rsyslog统一进行管理，日志格式基本相似主配置文件/etc/rsyslog.conf （2）用户日志 记录系统用户登录及退出系统的相关信息 （3）程序日志 由各种应用程序独立管理的日志文件，记录格式不统一 3、linux系统内核日志消息的优先级别（1）数字等级越小，优先级越高，消息越重要——可自定义 （1）日志默认位置 /var/log目录下 （2）主要日志文件介绍
（1）显示当前登录系统的用户信息——————users （2）显示目前登录系统的用户信息（比users详细）————————w （3）列出截止目前登录过系统的用户信息（包括时间）——————last （4）查询登录失败的用户记录——————————————————lattb （1）web服务：/var/log/httpd/ access_log ——记录客户访问事件 error_log————记录错误事件 （2）代理服务：/var/log/squid/ access.log cache.log （3）分析工具 （4）文本查看 grep 过滤检索 webmin 管理套件中查看 awk，sed等文本过滤 格式化编辑工具 例如： tail -f /var/log/messages————————————————————————最新记录
cat /var/log/messages | grep ‘15:40:01’——————————————————搜索时间 （1）策略 及时做好备份和归档延长日志保存期限控制日志访问权限：日志中包含各类敏感信息，如账户、口令等集中管理日志：将服务器上的日志文件发送到统一的日志文件服务器上；便于日志信息的统一收集、整理和分析；杜绝日志信息的意外丢失，恶意篡改或删除 （2）日志一般的保存时间程序日志：一般只保留当天历史日志或者两天左右的数据日志：（数据库）最少保留一年用户信息日志：永久保存企业根据业务需要自定义保留时间 三、日志实验 1、将ssh服务日志单独存放（1）关闭服务端和客户端的防火墙、selinux 服务端IP地址：192.168.198.99 客户端IP地址：192.168.198.100 setenforce 0——————————————————关闭安全机制 systemctl stop firewalld————————————关闭防火墙 （2）修改配置文件 vim /etc/rsyslog.conf ————————————————管理内核以及系统日志统一管理工具 （3）重启服务 发送服务器：客户端 192.168.198.99 收集服务器：服务端 192.168.198.100 （1）关闭服务端和客户端防火墙、selinux vim /etc/rsyslog.conf
vim /etc/rsyslog.conf 日志管理工具journalctl是centos7上专有的日志管理工具，该工具是从messages这个文件里读取信息。 Systemd统一管理所有Unit的启动日志。带来的好处就是，可以只用journalctl一个命令， 查看所有日志（内核日志和应用日志）。 日志的配置文件是/etc/systemd/journald.conf 1、查看所有日志默认情况下，只保存本次启动的日志 journalctl journalctl -r————————————————————————（-r）表示倒序，从尾部看 2、查看内核日志不显示应用日志 journalctl -k 3、查看系统本次启动的日志journalctl -b [-0] #默认就是0 4、查看上一次启动的日志需更改设置,如上次系统崩溃，需要查看日志时，就要看上一次的启动日志 journalctl -b -1 5、显示尾部指定行数的日志查看的是/var/log/messages的日志，但是格式上有所调整，如主机名格式不一样而已 journalctl -n 20 6、查看某个服务的日志journalctl -u nginx.service 7、查看指定进程的日志journalctl _PID=1 8、查看指定用户的日志journalctl _UID=0 --since today journalctl _UID=0 --since yesterday 9、journalctl -xe查看systemd journal中的所有错误信息，包括启动过程中的错误和系统运行期间的错误。 -x选项显示更加详细的错误信息， -e选项跳转到日志的末尾，从而查看最新的错误信息。 五、把ssh服务的日志保存在KY29这个目录现在模拟这个日志被删除，通过xfsdump,恢复这个日志文件 systemctl stop firewalld.service setenforce 0 mkfs.xfs /dev/sdb1 mkdir /ky29 mount /dev/sdb1 /ky29 df -h vim /etc/rsyslog.conf——————73下面一行添加local6.* /ky29/ssh.log vim /etc/ssh/sshd_config ————32行注释掉（syslogfacillty），下面一行添加SyslogFacilli1ty LOCAL6 systemctl restart sshd systemctl restart rsyslog.service 另一台虚拟机：登录ssh @192.168.198.100 回到备份那边 cd /ky29 ls xfsdump -f /opt/backup /dev/sdb1 [-L backup -M sdb1]————备份 ls rm -rf *——————————————删除 xfsrestore -f /opt/backup /ky29————————恢复 |
（2）举例
vim /etc/ssh/sshd_config——————————————修改配置文件 
（4）验证 另一台服务端登录：ssh 
（2）配置发送方： 修改客户端配置文件，并启动服务
（3）配置接收方：
（4）测试 
【本文地址】