wordpass建设网站流程,佛山建站专,常见的网站建设技术,如何网站本章主要介绍Linux中的日志管理
了解rsyslog是如何管理日志的查看日志的方法
日志管理简介 工作当中的日志#xff0c;特指硬件和软件的日志#xff0c;管理员可以通过它来检查错误发生的原因#xff0c;或者寻找受到攻击时攻击者留下的痕迹。日志管理包括管理系统日志、应…本章主要介绍Linux中的日志管理
了解rsyslog是如何管理日志的查看日志的方法
日志管理简介 工作当中的日志特指硬件和软件的日志管理员可以通过它来检查错误发生的原因或者寻找受到攻击时攻击者留下的痕迹。日志管理包括管理系统日志、应用程序日志、安全日志、日志审计、网络日志等。 日志中记录了各种各样的问题所以读取日志是检测并排除故障的一个重要方式日志文件默认放在/var/log目录下。不同的问题要读取不同的日志例如邮件发不出去可以读 取/var/log/maillog日志文件;要查看哪些用户试图用ssh登录到本机可以读 取/var/log/secure日志文件。 在RHEL8/CentOS8中日志是由rsyslogd服务管理的不同类别的日志放在哪个文件中由/etc/rsyslog.conf决定。 在/etc/rsyslog.conf中可以定义一系列的规则决定不同类别的日志保存在哪个文件中。 定义规则的格式如下。 日志类别.日志级别标准线 文件 如果某个应用程序的日志级别大于等于日志类别后面的级别标准线则日志会被记录到指定的文件中不妨先仔细看完下面的内容。
日志类别包括以下几种。 auth用户认证时产生的日志。authprivssh、ftp等登录信息的验证信息。daemon一些守护进程产生的日志。ftpftp产生的日志。lp打印相关活动。mark服务内部的信息是时间标识。news网络新闻传输协议NNTP产生的消息。syslog系统日志。security安全相关的日志。uucpUnix-to-Unix Copy两个 UNIX之间的相关通信。console针对系统控制台的消息。cron系统执行定时任务产生的日志。kern系统内核日志。local0~local7由自定义程序使用。mail邮件日志。user用户进程。 日志级别包括以下几种。 emerg恐慌状态如关机、重启系统等。alert紧急状态。crit临界状态。err其他错误。warning警告。notice需要调查的事项。info一般的事件信息。debug仅供调试。 不需要详细了解具体每个级别的意义只需知道这些级别从上往下是越来越低的。emerg 级别最高debug级别最低。 在写程序时,可以在程序的代码中定义一个日志信息这个日志应该属于哪个类别以及级别是什么。当程序中的这个代码块被执行时/etc/rsyslog.conf决定这个日志会写入哪个文件中。
为了更好地理解先看一个例子。假设rsyslog.conf中已经定义了4条日志规则如下图所示。 这里定义了不同类别的日志记录的最低标准以及记录到哪个文件中。例如,第4条规则 local5类别的日志,如果级别大于等于info会记录到 file4.log中如下图所示。 现在有一个A应用在其代码中指定它所使用的日志类别是local5所以在A应用的日志生成时会使用第4条规则。因为第4条规则指定的是如何记录 local5级别的日志。 那么A应用所产生的日志到底会不会被第4条规则记录呢?主要取决于A应用的日志级别 是否达到规则要求的最低标准。A应用产生的日志级别为debug而规则4要记录的最低级别为info, debug的级别低于info。所以A应用产生的日志没有达到规则4的最低“分数 线”是不会被记录到file4.log 中的。 rsyslog的配置 用vim编辑器打开/etc/rsyslog.conf往下找到RULES关键字#### RULES ####定义的都是记录日志的规则去掉对应的注释行之后内容如下。
*.info;mail.none;authpriv.none;cron.none /var/log/messages 上面这行*.info中的*表示所有类别的日志都可以匹配到这条规则但是要求应用程序的日志级别要达到info以上才会记录到/var/log/messages中。 但是这里的*要排除mail、authpriv和 cron这三个类别即这三个类别的日志不匹配这条规则因为这三个类别后面写的级别是non。
authpriv.* /var/log/secure 这条规则的意思是只要应用程序产生的日志是authpriv类别的就匹配这条规则不管日志是哪个级别的,日志都记录到/var/log/secure中。
mail.* -/var/log/maillog 这条规则的意思是只要应用程序产生的日志是mail类别的就匹配这条规则不管日志是哪个级别的,日志都记录到/var/log/maillog中。
cron.* /var/log/cron 这条规则的意思是只要应用程序产生的日志是cron类别的就匹配这条规则不管日志是哪个级别的日志都记录到/var/log/cron 中。
*.emerg :omusrmsg:*这条规则的意思是不管应用程序产生的日志是哪个类别的只要日志级别是emerg就 会通知所有人所有终端都会有消息提醒。
uucp,news.crit /var/log/spooler 这条规则的意思是只要应用程序产生的日志是uucp或news类别的就匹配这条规则日志级别大于或者等于crit时日志都记录到/var/log/spooler 中。
local7.* /var/log/boot.log这条规则的意思是只要应用程序产生的日志是local7类别的就匹配这条规则不管日志是哪个级别的日志都记录到/var/log/boot.log 中。
下面开始自己写一条规则在vim 编辑模式下在上面规则的后面添加一条内容。
local6.info /var/log/xx.log这条规则的意思是只要应用程序产生的日志是 local6类别的就匹配这条规则但是要求日志的级别要大于等于info才能记录到/var/log/xx.log中。
保存退出并重启rsyslog命令如下。
[rootrhel03 ~]# systemctl restart rsyslog.service
下面模拟一个应用程序产生一个类别为local6、级别为debug的日志命令如下。
[rootrhel03 ~]# logger -p local6.debug 1111
[rootrhel03 ~]#
这个命令的意思是模拟产生一个类别为local6、级别为debug的日志日志内容为 1111.
这个日志应该会使用配置文件/etc/rsyslog.conf中所定义的如下两条规则。
*.info;mail.none;authpriv.none;cron.none /var/log/messages
local6.info /var/log/xx.log 第一条规则能匹配到任何类别,但是要求info级别以上的日志;第二条能匹配local6类别、 info级别以上的日志。但模拟日志仅仅是debug级别的不达标所以模拟日志是不会被记录的如下所示。
[rootrhel03 ~]# ls /var/log/xx.log
ls: 无法访问/var/log/xx.log: 没有那个文件或目录
[rootrhel03 ~]#
现在重新模拟一个 local6级别为info的日志日志内容为2222命令如下。
[rootrhel03 ~]# logger -p local6.info 2222
[rootrhel03 ~]# 按照上面的分析这个日志会被记录且会记录到/var/log/messages和/var/log/xx.log 两个日志文件中下面来验证一下。
[rootrhel03 ~]# grep -w 2222 /var/log/messages
Dec 7 11:58:19 rhel03 root[7372]: 2222
[rootrhel03 ~]#
[rootrhel03 ~]# cat /var/log/xx.log
Dec 7 11:58:19 rhel03 root[7372]: 2222
[rootrhel03 ~]#
可以看到,这个日志被记录到两个文件中了。
现在重新模拟—个local6级别为err 的日志日志内容为3333命令如下。
[rootrhel03 ~]# logger -p local6.err 3333
[rootrhel03 ~]# 然后确认这个日志是否被记录命令如下。
[rootrhel03 ~]# grep 3333 /var/log/messages
Dec 7 12:03:41 rhel03 root[7454]: 3333
[rootrhel03 ~]# cat /var/log/xx.log
Dec 7 11:58:19 rhel03 root[7372]: 2222
Dec 7 12:03:41 rhel03 root[7454]: 3333
[rootrhel03 ~]# 查看日志
前面分析了rsyslog是如何归纳日志信息的下面来看如何查看日志。 第一种方式就是查看日志文件因为不同类别的日志被记录到不同的日志文件了所以我们查看对应的日志文件即可。
查看系统的启动过程,可以通过/var/log/boot.log来查看。查看谁通过ssh、ftp等登录系统或尝试登录系统可以通过/var/log/secure 来查 看。查看邮件服务器收发邮件的情况可以通过/var/log/maillog来查看。查看安装或卸载了哪些包可以通过/var/log/dnf.log来查看。 大部分的日志信息都是记录在/var/log/messages中的,可以在此日志文件中查找相关信 息。除以上查看日志文件的方式外还可以通过 journalctl 命令来查看命令如下。
[rootrhel03 ~]# journalctl
-- Logs begin at Thu 2023-12-07 05:47:36 03, end at Thu 2023-12-07 12:03:41 03. --直接输人“journalctl”会显示系统所有的日志。此时显示了一页的日志按【Esc】键 可以退出来按【Enter】键可以一行一行地往下显示按空格键可以一页一页地往下显示。
如果想查看最新的日志命令如下。
[rootrhel03 ~]# journalctl -f
-- Logs begin at Thu 2023-12-07 05:47:36 03. --此处日志仍然处于打开状态不会看到终端提示符如果此时日志有变化这里会继续输 出。按【CtrlC】组合键退出。 如果想查看日志中某级别以上的日志可以加上“-p级别”选项来查看。例如查看 emerg级别的日志,命令如下。
[rootrhel03 ~]# journalctl -p emerg
-- Logs begin at Thu 2023-12-07 05:47:36 03, end at Thu 2023-12-07 12:03:41 03. --
-- No entries --
[rootrhel03 ~]# 没有任何输出说明系统中暂时没有emerg级别的日志。我们先模拟一个类别为local6、 级别为emerg的日志,命令如下。
[rootrhel03 ~]# logger -p local6.emerg xxxx
[rootrhel03 ~]#
Broadcast message from systemd-journaldrhel03 (Thu 2023-12-07 12:09:22 03):root[7532]: xxxxMessage from syslogdrhel03 at Dec 7 12:09:22 ...root[7532]:xxxx
[rootrhel03 ~]#
然后再次查看所有emerg 级别以上的日志,命令如下。
[rootrhel03 ~]# journalctl -p emerg
-- Logs begin at Thu 2023-12-07 05:47:36 03, end at Thu 2023-12-07 12:09:22 03. --
12月 07 12:09:22 rhel03 root[7532]: xxxx
[rootrhel03 ~]#
可以看到有一条emerg 级别的日志了。
journalctl还可以查看某个时间段的日志格式如下。 journalctl ‐‐since 时间1 ‐‐until 时间2 这里since指的是起始时间until指的是终止时间整体的意思是查看的是时间1和时间2 之间的日志。例如要查看自2023-10-6 20:00:00到2023-10-07 10:00:00且级别要大于等于 err 的日志命令如下。
[rootrhel03 ~]# journalctl -p err --since 2023-10-6 20:00:00 --until 2023-10-07 10:00:00
-- Logs begin at Thu 2023-12-07 05:47:36 03, end at Thu 2023-12-07 12:09:22 03. --
[rootrhel03 ~]#
如果没有写until则查看的是从since所指定的时间点到现在的日志。
