Linux 日志

基本介绍：

1. 日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等。

2. 日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。

3. 可以这样理解，日志是用来记录重大事件的工具。

系统常用的日志

/var/log/ 目录就是系统日志文件的保存位置

系统常用的日志

日志管理服务 rsyslogd

CentOS7.6日志服务是rsyslogd ,CentOS6.x日志服务是syslogd 。rsyslogd功能更强大。rsyslogd 的使用、日志文件的格式，和 syslogd服务兼容的。

1. 查询Linux 中的rsyslogd服务是否启动
   ps aux | grep "rsyslog" | grep -v "grep"（-v 反向匹配）

2. 查询rsyslogd服务的自启动状态
   systemctl list-unit-files | grep rsyslog

3. 配置文件:/etc/rsyslog.conf
   编辑文件时的格式为: *.* 存放日志文件
   其中第一个*代表日志类型，第二个*代表日志级别

1)日志类型分为:
auth 　　　　##pam产生的日志
authpriv 　　##ssh、ftp等登录信息的验证信息
corn 　　　　##时间任务相关
kern 　　　　##内核
lpr 　　　　　##打印
mail 　　　　##邮件
mark(syslog)-rsyslog 　　##服务内部的信息，时间标识
news 　　　　##新闻组
user　　　　 ##用户程序产生的相关信息
uucp 　　　　##unix to nuix copy主机之间相关的通信
local 1-7 　　##自定义的日志设备
2)日志级别分为：
debug 　　　##有调试信息的，日志通信最多
info 　　　　##一般信息日志，最常用
notice 　　　##最具有重要性的普通条件的信息
warning 　　　##警告级别
err 　　　　　##错误级别，阻止某个功能或者模块不能正常工作的信息
crit 　　　　##严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert 　　　##需要立刻修改的信息
emerg 　　　##内核崩溃等重要信息
none 　　　##什么都不记录　　

注意：从上到下，级别从低到高，记录信息越来越少

由日志服务rsyslogd记录的日志文件，日志文件的格式包含以下4列:
1)事件产生的时间
2)产生事件的服务器的主机名
3)产生事件的服务名或程序名
4)事件的具体信息

日志管理服务应用实例: 在/etc/rsyslog.conf 中添加一个日志文件/var/logfyx.log,当有事件发送时(比如sshd服务相关事件)，该文件会接收到信息并保存。下面演示重启，登录的情况：
vim /var/rsyslog.conf

重启、登录后：

日志轮替

日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除。
日志轮替文件命名：

1. centos7使用logrotate进行日志轮替管理，要想改变日志轮替文件名字，通过/etc/logrotate.conf配置文件中“dateext”参数。

2. 如果配置文件中有“dateext”参数，那么日志会用日期来作为日志文件的后缀，例如“secure-20201010”。这样日志文件名不会重叠，也就不需要日志文件的改名，只需要指定保存日志个数，删除多余的日志文件即可。

3. 如果配置文件中没有“dateext”参数，日志文件就需要进行改名了。当第一次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志，用来保存新的日志。当第二次进行日志轮替时，“secure.1"会自动改名为“secure.2”，当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来保存新的日志，以此类推。

logrotate 　　　　##配置文件参数说明：
daily 　　　　　　##日志的轮替周期是每天
weekly 　　　　　##日志的轮替周期是每周
monthly 　　　　　##日志的轮替周期是每月
rotate 数字 　　　##保留的日志文件的个数。0指没有备份
compress 　　　　##日志轮替时，旧的日志进行压缩
create mode owner group 　　##建立新日志，同时指定新日志的权限与所有者和所属组。
mail address 　　##当日志轮替时，输出内容通过邮件发送到指定的邮件地址
missingok 　　　　##如果日志不存在，则忽略该日志的警告信息
notifempty 　　　##如果日志为空文件，则不进行日志轮替
minsize　大小 　　　##日志轮替的最小值。也就是日志一定要达到这个最小值才会轮替，否则就算时间达到也不轮替
size大小 　　　　　##日志只有大于指定大小才进行日志轮替，而不是按照时间轮替
dateext 　　　　　##使用日期作为日志轮替文件的后缀。 sharedscripts 　　　##在此关键字之后的脚本只执行一次。
prerotate/endscript 　　　##在日志轮替之前执行脚本命令。postrotate/endscript 　　##在日志轮替之后执行脚本命令。

将自己的日志加入日志轮替　　

1)第一种方法是直接在/etc/logrotate.conf配置文件中写入该日志的轮替策略　　

2)第二种方法是在/etc／logrotate.d目录中新建立该日志的轮替文件，在该轮替文件中写入正确的轮替策略，因为该目录中的文件都会被“include”到主配置文件中，所以也可以把日志加入轮替。 　　

推荐使用第二种方法，因为系统中需要轮替的日志非常多，如果全都直接写入/etc/logrotate.conf 配置文件，那么这个文件的可管理性就会非常差，不利于此文件的维护。

日志轮替机制原理 日志轮替之所以可以在指定的时间备份日志，是依赖系统定时任务。在/etc/cron.daily/目录，就会发现这个目录中是有logrotate文件(可执行)，logrotate通过这个文件依赖定时任务执行的。

crond后台程序进行操作（执行logrotate），logrotate里存储的是执行的策略/规则。

查看内存文件

journalctl 可以查看内存日志。

journalctl ##查看全部
journalctl -n 3 ##查看最新3条
journalctl --since 19:00--until 19:10:10 ##查看起始时间到结束时间的日志可加日期
journalctl -p err ##报错日志
journalctl -o verbose ##日志详细内容journalctl_PID=1245_COMM=sshd ##查看包含这些参数的日志（在详细日志查看) 或者journalctl | grep sshd
注意: journalctl 查看的是内存日志，重启则清空。

---

本文章使用limfx的vscode插件快速发布