目录
一、 系统日志管理
1.1 系统日志介绍
1.1.1 sysklogd 系统日志服务
1.1.2 rsyslog 系统日志服务
1.2 rsyslog 管理
1.2.1 系统日志术语
1.2.2 rsyslog 相关文件
1.2.3 rsyslog配置文件
1.3 日志文件
二、实验
2.1 实验一：将ssh服务的日志单独设置
2.2 实验二：开启日志的远程传输功能
三、总结
一、 系统日志管理
1.1 系统日志介绍
在现实生活中，记录日志也非常重要，比如银行的转账记录，飞机上的黑盒子，那么将系统和应用发生的事件记录至日志中，以助于排错和分析使用
日志记录的内容包括：
历史事件：时间，地点，人物，事件
日志级别：事件的关键性程度，Loglevel
1.1.1 sysklogd 系统日志服务
CentOS 5 之前版本采用的日志管理系统服务
syslogd: system application 记录应用日志
klogd: linux kernel 记录内核日志
事件记录格式：
日期时间 主机 进程[pid]: 事件内容
C/S架构：通过TCP或UDP协议的服务完成日志记录传送，将分布在不同主机的日志实现集中管理
1.1.2 rsyslog 系统日志服务
Rsyslog的全称是 rocket-fast system for log，它提供了高性能，高安全功能和模块化设计。rsyslog能够接受从各种各样的来源，将其输入，输出的结果到不同的目的地。rsyslog可以提供超过每秒一百万条消息给目标文件
rsyslog 特性
多线程
UDP, TCP, SSL, TLS, RELP
MySQL, PGSQL, Oracle实现日志存储
强大的过滤器，可实现过滤记录日志信息中任意部分
自定义输出格式
适用于企业级中继
1.2 rsyslog 管理
1.2.1 系统日志术语
#内置分类
auth（验证）, authpriv, cron（定时任务）, daemon,ftp,kern, lpr, mail, news, security(auth), user, uucp, syslog
#自定议的分类
local0-local7
日志等级（优先级）
数字越小紧急程度越高，一般在error就解决掉了，出现比error更严重的问题就是运维的失职
| 级号 | 等级名称 | 说 明 |
| 7 | debug (LOG_DEBUG) | 一般的调试信息说明 |
| 6 | info (LOG_INFO) | 基本的通知信息 |
| 5 | notice (LOG_NOTICE) | 普通信息，但是有一定的重要性 |
| 4 | warning(LOG_WARNING) | 警吿信息，但是还不会影响到服务或系统的运行 |
| 3 | error(LOG_ERR) | 错误信息, 一般达到err等级的信息已经可以影响到服务成系统的运行了 |
| 2 | crit (LOG_CRIT) | 临界状况信思，比err等级还要严® |
| 1 | alert (LOG_ALERT) | 状态信息，比crit等级还要严重，必须立即采取行动 |
| 0 | emerg (LOG_EMERG) | 疼痛等级信息，系统已经无法使用了 |
| * | 代表所有日志等级。比如，“authpriv.*”代表amhpriv认证信息服务产生的日志，所有的日志等级都记录 |
服务名称
| 服务名称 | 说 明 |
| auth(LOG AUTH) | 安全和认证相关消息 (不推荐使用authpriv替代） |
| authpriv(LOG_AUTHPRIV) | 安全和认证相关消息（私有的） |
| cron (LOG_CRON) | 系统定时任务cront和at产生的日志 |
| daemon (LOG_DAEMON) | 与各个守护进程相关的曰志 |
| ftp (LOG_FTP) | ftp守护进程产生的曰志 |
| kern(LOG_KERN) | 内核产生的曰志（不是用户进程产生的） |
| Iocal0-local7 (LOG_LOCAL0-7) | 为本地使用预留的服务 |
| lpr (LOG_LPR) | 打印产生的日志 |
| mail (LOG_MAIL) | 邮件收发信息 |
| news (LOG_NEWS) | 与新闻服务器相关的日志 |
| syslog (LOG_SYSLOG) | 存syslogd服务产生的曰志信息（虽然服务名称己经改为reyslogd，但是很多配罝依然沿用了 syslogd服务的，所以这里并没有修改服务名称） |
| user (LOG_USER) | 用户等级类别的日志信息 |
| uucp (LOG_UUCP> | uucp子系统的日志信息，uucp是早期Linux系统进行数据传递的协议，后来 也常用在新闻组服务中 |
1.2.2 rsyslog 相关文件
程序包：rsyslog
主程序：/usr/sbin/rsyslogd
CentOS 6：/etc/rc.d/init.d/rsyslog {start|stop|restart|status}
CentOS 7,8：/usr/lib/systemd/system/rsyslog.service
配置文件：/etc/rsyslog.conf，/etc/rsyslog.d/*.conf
库文件： /lib64/rsyslog/*.so
1.2.3 rsyslog配置文件
/etc/rsyslog.conf 配置文件格式：由三部分组成
MODULES：相关模块配置
GLOBAL DIRECTIVES：全局配置
RULES：日志记录相关的规则配置
1.3 日志文件
| 目录 | 含义 |
| /var/log/secure | 系统安全日志，文本格式，应周期性分析 |
| /var/log/btmp | 当前系统上，用户的失败尝试登录相关的日志信息，二进制格式，lastb命令进行查看 |
| /var/log/wtmp | 当前系统上，用户正常登录系统的相关日志信息，二进制格式，last命令可以查看 |
| /var/log/lastlog | 每一个用户最近一次的登录信息，二进制格式，lastlog命令可以查看 |
| /var/log/dmesg | CentOS7 之前版本系统引导过程中的日志信息，文本格式，开机后的硬件变化将不再记录专用命令dmesg查看，可持续记录硬件变化的情况 |
| /var/log/boot.log | 系统服务启动的相关信息，文本格式 |
| /var/log/messages | 系统中大部分的信息 |
| /var/log/anaconda | anaconda的日志 |
示例1
示例2
示例3
二、实验
2.1 实验一：将ssh服务的日志单独设置
1.vim /etc/ssh/sshd_config
shift+冒号 末行模式敲set nu 显示行号，上下键找到第32行，命令模式yy复制，p粘贴到下一行，将32行开头加上#号，按“i”进入编辑模式，将33行后面那个单词改为LOCAL6，保存退出
2.vim /etc/rsyslog.conf
shift+冒号 末行模式敲set nu 显示行号，上下键找到第73行，命令模式yy复制，p粘贴到下一行，按“i”进入编辑模式，改为如下
3.重启服务
systemctl restart sshd systemctl restart rsyslog
4.右击第一个标签复制会话
cd /var/log/ ls
可以看到创建的sshd.log文件存在了
vim sshd.log
可以看到操作记录
2.2 实验二：开启日志的远程传输功能
1.两台机子 vim /etc/rsyslog.conf
将19,20行的#注释去掉，开启tcp服务，保存退出
2.第二台机子 vim /etc/rsyslog.conf yy复制 p粘贴到下一行，后面加上@@第一台IP地址
查看第一台IP地址，在第一台机子上输入ifconfig，找到en33网卡下的IP地址就是本机的IP地址
注意：
使用tcp服务，IP地址前是@@
使用udp服务，IP地址前是@
保存退出然后重启服务，systemctl restart rsyslog
3.两台机子关闭防火墙和selinux
systemctl stop firewalld vim /etc/selinux/config
4.第二台机子测试，往日志中写入数据
[root@localhost ~]# logger "1111111111111111111111" [root@localhost ~]# logger "2222222222222222222222"
第一台机子的/var/log/messages文件可以看到，使用cat /var/log/messages命令
三、总结
在工作中我们要学会查看日志，及时解决问题，防患于未然
在真实生产环境中，会有几台或是几十台服务器，集中管理数以百万台服务器的日志信息
