【Linux进阶篇】日志系统

本文涉及的产品
日志服务 SLS,月写入数据量 50GB 1个月
运维安全中心(堡垒机),企业双擎版 50资产 7天
运维安全中心(堡垒机),免费版 6个月
简介: 【Linux进阶篇】日志系统

日志

日志文件:系统中各个运行消息的文件,不同的日志文件记录了不同类型的信息,如内核消息、错误消息等。

syslog服务:

       syslogd: 系统,非内核产生的信息

       klogd:内核,专门负责记录内核产生的日志信息

分析日志文件: 通过浏览日志查找关键信息,对系统服务进行调试,判断故障发生的原因

分类

内核及系统日志: 数据由系统服务rsyslog统一管理可以根据主配文件/etc/rsyslog.conf中的设置决定内核消息及其各种系统消息的记录位置/var/log/messages

用户日志: 数据用于记录系统用户登录及其退出系统的相关信息,包括用户名、登录终端、 登录时间、来源、使用的进程等等 /var/log/secure

程序日志: 应用程序自己独立管理的一个日志,记录程序本身运行过程中的各种事件信息 /var/log/nginx/access.log /var/log/nginx/error.log

1、内核和系统日志 /etc/rsyslog.conf

mail.notice(举例)

服务.级别 /var/log/messages 内核和大多数系统消息日志位置

消息内容组成 时间:消息发出的时间和日期

主机名:生成消息的计算机的名称

子系统的名称:发出消息的应用程序的名称

消息内容:消息的具体内容

2、用户日志和程序日志

查询当前登录的用户情况:users,who,w

查询用户登录的历史记录:last 成功日志,lastb 失败日志

查看安全日志文件:/var/log/secure

举例:查看/var/log/secure安全日志文件,打开新终端会看到信息。

1. [root@log ~]# tailf /var/log/secure
2. Mar 18 12:18:22 localhost sshd[1689]: Server listening on 0.0.0.0 port 22.
3. Mar 18 12:18:22 localhost sshd[1689]: Server listening on :: port 22.
4. Mar 18 12:18:26 localhost gdm-launch-environment]: pam_unix(gdm-launch-environment:session): session opened for user gdm by (uid=0)

3、程序日志

       例1:httpd 服务的日志文件access_log和error_log分别记录客户访问事件和错误信息 /var/log/httpd/access_log /var/log/httpd/error_log

       例2:nginx服务的日志文件access.log和error.log /var/log/nginx/access.log /var/log/nginx/error.log

       例3:源码安装nginx日志路径 /usr/local/nginx/logs

注意:/var/log/dmesg 系统启动硬件检查日志:直接运行命令 dmesg

常见日志文件

/var/log/boot.log 记录了系统在引导过程中发生的事件,就是Linux系统开机自检过程显示的信息

/var/log/messages 记录Linux操作系统常见的系统和服务错误信息

/var/log/cron crond 计划任务产生的事件信息

/var/log/dmesg 引导过程中产生的信息

/var/log/maillog 记录电子邮件活动信息

/var/log/lastlog 记录最后一次用户成功登陆的时间、登陆IP等信息

/var/log/secure Linux系统安全日志,记录用户和工作组变化情况、用户登陆认证情况

/var/log/syslog 只记录警告信息,常常是系统出问题的信息,使用lastlog查看

/var/log/wtmp 记录用户登录、注销、系统启动、关键等信息,使用last命令查看

/var/log/btmp 记录失败或者是错误的登录信息和验证 lastb命令查看

/var/run/utmp 该日志文件记录有关当前登录的每个用户的信息。如who、w、users等就需要访问这个文件

日志消息的级别

0 emerg 会导致主机系统不可用的情况

1 alert 必须马上采取措施解决的问题

2 crit 比较严重的情况

3 err 运行出现问题

4 warning 可能影响系统功能,需要提醒用户的重要事件

5 notice 不会影响正常功能,但是需要注意的事件

6 info 一般信息

7 debug 程序或系统调试信息等

8 none 不记录任何日志

rsyslog.conf文件分析

加载模块、转发端口等基本配置

1. [root@log ~]# cat /etc/rsyslog.conf 
2. #省略部分内容
3. #### MODULES #### 
4. # Provides UDP syslog reception 
5. #$ModLoad imudp 
6. #$UDPServerRun 514 
7. 
8. # Provides TCP syslog reception 
9. #$ModLoad imtcp 
10. #$InputTCPServerRun 514
11. #省略部分内容

服务名称

auth        # 认证相关的

authpriv    # 权限,授权相关的

cron        # 任务计划相关的

daemon      # 守护进程相关的

kern        # 内核相关的

lpr         # 打印相关的

mail        # 邮件相关的

mark        # 标记相关的

news        # 新闻相关的

security    # 安全相关的,与auth 类似

syslog      # syslog自己的

user        # 用户相关的

uucp        # unix to unix cp 相关的

local0 到 local7 # 用户自定义使用

*           # *表示所有的facility

配合日志级别举例

1、//mail的info级别以上的信息,记录的位置

mail.info /var/log/mail

2、//只记录info这一个级别。

auth.=info

3、//user的相关信息但不包括error,取反。

user.!=error

4、//所有日志的info以上的信息

*.info

5、//mail的所有级别

mail.*

6、//所有服务的所有级别

*.*

7、//合并日志,写到一块

cron.info;mail.info

action(动作)日志记录的位置

-   //延迟写入,系统不繁忙的时候才写入。

发送邮件,通过什么协议

@@192.168.1.1 TCP

@192.168.1.1 UDP


*号表示所有在线用户

~ 忽略日志

^号后跟可执行脚本或程序的绝对路径


案例:更改系统安全日志secure的记录位置,将secure的位置更改为/usr/local/secure


1. [root@log ~]# vim /etc/rsyslog.conf         #默认57行
2. authpriv.*  /usr/local/secure
3. [root@log ~]# systemctl restart rsyslog
4. [root@log ~]# chattr +a /usr/local/secure

日志的采集

企业环境可以使用ELK,但rsyslog也可以实现日志收集功能

案例环境:将log1的日志发送到log2

log1:192.168.8.2

log2:192.168.8.11

log1:

1. [root@log1 ~]# vim /etc/rsyslog.conf
2.  14 # Provides UDP syslog reception
3.  15 $ModLoad imudp                  #15行删除注释
4.  16 $UDPServerRun 514               #16行删除注释
5.  17 
6.  18 # Provides TCP syslog reception
7.  19 $ModLoad imtcp                  #19行删除注释
8.  20 $InputTCPServerRun 514          #20行删除注释
9. #末尾添加
10.  92 *.* @192.168.8.2                #92行添加
11. [root@log1 ~]# systemctl restart rsyslog            #重启
12. [root@log1 ~]# yum -y install nginx                 #安装nginx

log2:

1. [root@log2 ~]# vim /etc/rsyslog.conf
2.  14 # Provides UDP syslog reception
3.  15 $ModLoad imudp                  #15行删除注释
4.  16 $UDPServerRun 514               #16行删除注释
5.  17 
6.  18 # Provides TCP syslog reception
7.  19 $ModLoad imtcp                  #19行删除注释
8.  20 $InputTCPServerRun 514          #20行删除注释
9. [root@log2 ~]# systemctl restart rsyslog
10. [root@log2 ~]# tailf /var/log/messages

案例2:把nginx的日志发送给log2 log1:

1. [root@log1 ~]# vim /etc/rsyslog.conf
2. $ModLoad imfile 
3. $InputFilePollInterval 1 
4. $InputFileName /var/log/nginx/access.log 
5. $InputFileTag nginx-info-access;
6. $InputFilestateFile state-nginx-info-accesslog 
7. $InputRunFileMonitor
8. $InputFileName /var/log/nginx/error.log 
9. $InputFileTag nginx-info-error; 
10. $InputFilestateFile state-nginx-info-errorlog 
11. $InputRunFileMonitor
12. $InputFilePollInterval 10 
13. if $programname == 'nginx-info-access' then @192.168.8.11:514 
14. if $programname == 'nginx-info-access' then ~ 
15. if $programname == 'nginx-info-error' then @192.168.8.11:514 
16. if $programname == 'nginx-info-error' then ~

参数解释:

//间隔多久采集1次。

默认单位是秒 $InputFilePollInterval 1

//采集的日志的名称

$InputFileName /usr/local/nginx/logs/access.log

//给对应的日志打一个标签

$InputFileTag nginx-info-access;

//给这个日志命名

$InputFilestateFile state-nginx-info-accesslog

//启动监控

$InputRunFileMonitor

日志的切割

为了防止日志文件过大,所以我们要做到日志定期的切割和清理。 logrotate 日志轮替

/etc/logrotate.conf

weekly //切割周期,默认每周

rotate 4 //保留多少个日志文件,那么一周一个,也就是能看到一个月的日志。如果是0就表示不作备份,仅做了一个切割,表示每周清空一下日志。

create //旧日志切割后,源文件是否生成新的日志。这一点就跟脚本切割日志有很大不同的地方。

dateext //切割后,日志的文件类型是什么样?默认是以日期来切割的。

include /etc/logrotate.d //还需要读取这个地方的内容 ,目录里都是其他地方的日志

/var/log/wtmp { //特指某个文件的切割方式,

       monthly //每月切割

       create 0664 root utmp //切割完成之后,这个文件的权 限,以及属主和属组是谁

       minsize 1M //文件超过1M之后才切割,这表示即便过了1个月, 大小没到1M,也不切割

       rotate 1 //保留1个

       }

其他参数:

compress        //压缩,gzip delaycompress   //延迟压缩 nocompress      //不压缩 copytruncate    //先拷贝,再清空。 missingok       //丢了也没关系,热日志会出现中断 ifempty         //即使日志文件为空,到日期也切割 notifempty      //为空者不切割 mail Email      //切割后的日志文件,不在本地保存,发送邮件到其他地方。 nomail          //生成的日志不发送,在本地使用 olddir Directory //另存为的地址,如果不写则默认是在同一个目录下边。 noolddir        //转存文件都保存在本地。 sharedscripts   //运行脚本,为脚本添加的a权限后需要暂时调整权限 postrotate      //切割之后,执行脚本 prefotate       //切割之前,执行脚本时间参数 daily           //每天 weekly          //每周 mounthly        //每月 yearly          //每年 rotate count    //保存几份。 dateext         //使用当前日期。 size(minisize)  //达到多少才切割,默认单位是M,sizeksizem默认单位是kb。size = 5

切割安全日志

1. [root@log1 ~]# vim /etc/rsyslog.conf
2. authpriv.*      /var/log/secure
3. [root@log1 ~]# vim /etc/logrotate.d/secure
4. /var/log/secure { 
5.     missingok 
6.     notifempty 
7.     daily 
8.     create 
9.     rotate 4 
10.     compress 
11. }
12. [root@log1 ~]# useradd zhangsan
13. [root@log1 ~]#  echo 123.com | passwd --stdin zhangsan
14. 更改用户 zhangsan 的密码 。
15. passwd:所有的身份验证令牌已经成功更新。
16. [root@log1 ~]#  su - zhangsan
17. Attempting to create directory /home/zhangsan/perl5
18. [zhangsan@log1 ~]$  exit
19. 登出
20. [root@log1 ~]# tail /var/log/secure
21. #省略部分内容
22. Mar 18 14:31:00 log1 passwd: gkr-pam: couldn't update the login keyring password: no old password was entered
23. Mar 18 14:31:00 log1 su: pam_unix(su-l:session): session opened for user zhangsan by root(uid=0)
24. Mar 18 14:31:07 log1 su: pam_unix(su-l:session): session closed for user zhangsan

手动切割日志

1.  logrotate -vf /etc/logrotate.d/secure
2. ls /var/log/

如果有特殊权限,而每次切割完成之后,都需要重新启动rsyslog服务,需要写脚本支持。

1. /var/log/secure { 
2.     sharedscripts 
3.     prerotate 
4.     /usr/bin/chattr -a /var/log/secure 
5.     endscript 
6.     missingok 
7.     notifempty 
8.     daily 
9.     create 
10.     rotate 4 
11.     compress 
12.     sharedscripts 
13.     postrotate 
14.     /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null 
15.     /usr/bin/chattr +a /var/log/secure 
16.     endscript 
17. }

脚本切割nginx日志

1. [root@log1 ~]# vim /usr/local/nginx/cut_nginx_log.sh
2. #!/bin/bash
3. LOG_PATH=/usr/local/nginx/logs/
4. PID=/var/run/nginx/nginx.pid
5. mv ${LOG_PATH}access.log  ${LOG_PATH}access_$(date +%F).log
6. mv ${LOG_PATH}error.log  ${LOG_PATH}error_$(date +%F).log
7. kill -USR1 `cat ${PID}`
8. [root@log1 ~]# chmod +x /usr/local/nginx/cut_nginx_log.sh
9. [root@log1 ~]# crontab -e
10. 30 23 * * * /bin/bash /usr/local/nginx/cut_nginx_log.sh

案例3:logrotate切割nginx日志

1. [root@log1 ~]# vim /etc/logrotate.d/nginx
2. /var/log/nginx/*.log {
3.     daily
4.     dateext
5.     compress
6.     rotate 7
7.     sharedscripts
8.     postrotate
9. kill -USR1 `cat /var/run/nginx.pid`
10.     endscript
11. }
12. [root@log1 ~]# logrotate -d -f /etc/logrotate.d/nginx
13. #省略部分内容
14. [root@log1 ~]# crontab -e
15. 30 23 * * *  /usr/sbin/logrotate -f /etc/logrotate.d/nginx


相关实践学习
【涂鸦即艺术】基于云应用开发平台CAP部署AI实时生图绘板
【涂鸦即艺术】基于云应用开发平台CAP部署AI实时生图绘板
相关文章
WGLOG日志管理系统是怎么收集日志的
WGLOG通过部署Agent客户端采集日志,Agent持续收集指定日志文件并上报Server,Server负责展示与分析。Agent与Server需保持相同版本。官网下载地址:www.wgstart.com
|
29天前
|
Ubuntu Linux
计算机基础知识:linux系统怎么安装?
在虚拟机软件中创建一个新的虚拟机,并选择相应操作系统类型和硬盘空间大小等参数。将下载的 ISO 镜像文件加载到虚拟机中。启动虚拟机,进入安装界面,并按照步骤进行安装。安装完成后,可以在虚拟机中使用 Linux 系统。
|
29天前
|
存储 Ubuntu Linux
「正点原子Linux连载」第二章Ubuntu系统入门
在图2.8.2.4中,我们使用命令umount卸载了U盘,卸载以后当我们再去访问文件夹/mnt/tmp的时候发现里面没有任何文件了,说明我们卸载成功了。
|
16天前
|
缓存 监控 Linux
Linux系统清理缓存(buff/cache)的有效方法。
总结而言,在大多数情形下你不必担心Linux中buffer与cache占用过多内存在影响到其他程序运行;因为当程序请求更多内存在没有足够可用资源时,Linux会自行调整其占有量。只有当你明确知道当前环境与需求并希望立即回收这部分资源给即将运行重负载任务之前才考虑上述方法去主动干预。
248 10
|
20天前
|
安全 Linux 数据安全/隐私保护
为Linux系统的普通账户授予sudo访问权限的过程
完成上述步骤后,你提升的用户就能够使用 `sudo`命令来执行管理员级别的操作,而无需切换到root用户。这是一种更加安全和便捷的权限管理方式,因为它能够留下完整的权限使用记录,并以最小权限的方式工作。需要注意的是,随意授予sudo权限可能会使系统暴露在风险之中,尤其是在用户不了解其所执行命令可能带来的后果的情况下。所以在配置sudo权限时,必须谨慎行事。
151 0
|
29天前
|
Ubuntu Linux 开发者
国产 Linux 发行版再添新成员,CutefishOS 系统简单体验
当然,系统生态构建过程并不简单,不过为了帮助国产操作系统优化生态圈,部分企业也开始用国产操作系统替代 Windows,我们相信肯定会有越来越多的精品软件登录 Linux 平台。
66 0
|
29天前
|
Ubuntu 安全 Linux
Linux系统入门指南:从零开始学习Linux
Shell脚本是一种强大的自动化工具,可以帮助您简化重复的任务或创建复杂的脚本程序。了解Shell脚本的基本语法和常用命令,以及编写和运行Shell脚本的步骤,将使您更高效地处理日常任务。
103 0
|
29天前
|
Ubuntu Linux 图形学
Linux学习之Linux桌面系统有哪些?
Cinnamon:与MATE类似,Cinnamon 拥有 GNOME 和 Unity 等其它桌面环境所没有的种种功能,是高度可定制的桌面环境,不需要任何外部插件、窗口组件和调整工具来定制桌面。
61 0
|
29天前
|
Ubuntu 安全 Linux
十款常用Linux系统介绍
本文不是什么大盘点。市面上有好几百款发行版,每款发行版在某个方面都与众不同。不可能在此全部罗列,本文只罗列了十款最常见的Linux发行版(世界上只有两种人,一种是懂二进制的,另一种是不懂二进制的)。请宣传Linux的魅力或威力。
|
29天前
|
Ubuntu 安全 Linux
linux系统|Ubuntu 18.10 如期正式发布,新面孔新技术都来了
微软公司也终于沉不住气要在linux开源系统开疆扩土了。mscode这样的工具的确好用,虽然差第一名那么一点儿,但是最老版的公司出版的软件的确很是让人动心!