目录

一、日志文件

1、日志分类

2、 日志内容介绍

3、 查看rsyslog.conf配置文件，规则配置格式：【设备.级别    动作】​编辑

 3.2  设备字段

4.一些日志保留时间

5.1Linux系统内核日志消息的优先级别

5.2 举例

6.1 分析工具users、w 、last、lastb

​编辑 二、实验一、将ssh服务日志单独存放

1.关闭服务端和防火墙

 2.打开 /etc/rsyslog.conf配置文件

 3.添加自定义日志

 4.打开/etc/ssh/sshd_config 配置文件

 5.配置/etc/ssh/sshd_config文件

6.重启服务

 7.在另一台服务器（test2）连接此机（test1）

 8.在test2这台服务器查看test1的/var/log/ssg.log日志

三、实验二，配置日志服务器来收集日志 

1.配置发送服务器的/etc/rsyslog.conf文件

 2.重启发送方的服务

3.查看服务有没有起来

 4.配置接受方服务器的/etc/rsyslog.conf配置

 5.重启服务

6.查看服务有没有起来

 7.在发送方发送消息

 8.接受方

---

一、日志文件

Linux 操作系统本身和大部分服务器程序的日志文件都默认放在目录/var/log/下。

功能：记录系统，程序运行中发生的各种事件。

通过阅读日志，有助于诊断和解决系统系统故障。

1、日志分类

①内核及系统日志

• rsyslog 统一管理，主配置文件为/etc/rsyslog.conf 

②内核及公共消息日志：

• /var/log/messages：记录Linux内核消息及各种应用程序的公共日志信息，
• 包括启动、IO错误、网络错误、程序故障等。
• 对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息。

③计划任务日志：

• /var/log/cron：记录crond计划任务产生的事件信息。

④系统引导日志：

• /var/log/dmesg：记录Linux系统在引导过程中的各种事件信息。

⑤邮件系统日志：

• /var/log/maillog：记录进入或发出系统的电子邮件活动。

⑥用户登录日志：

• /var/log/secure：记录用户认证相关的安全事件信息。
• /var/log/lastlog：记录每个用户最近的登录事件。二进制格式
• /var/log/wtmp：记录每个用户登录、注销及系统启动和停机事件。二进制格式
• /var/run/btmp：记录失败的、错误的登录尝试及验证事件。二进制格式

vim /etc/rsyslog.conf        #查看rsyslog.conf配置文件，

2、 日志内容介绍

3、 查看rsyslog.conf配置文件，规则配置格式：【设备.级别    动作】

 

 3.2  设备字段

auth                用户认证时产生的日志
authpriv            ssh、ftp等登录信息的验证信息
daemon                一些守护进程产生的日志
ftp                    FTP产生的日志
lpr                    打印相关活动
mark                rsyslog服务内部的信息，时间标识
news                网络新闻传输协议(nntp)产生的消息。
syslog                系统日志
uucp                Unix-to-Unix Copy 两个unix之间的相关通信
console                针对系统控制台的消息。
cron                系统执行定时任务产生的日志。
kern                系统内核日志
local0~local7        自定义程序使用
mail                邮件日志
user                用户进程

4.一些日志保留时间

1. 程序日志：一般只保留当天，也有可能保留两天左右。
2. 数据日志、数据库：至少保留半年
3. 用户信息日志:永久保留

• 企业根据业务需要，自定义保留日志时间

5.1Linux系统内核日志消息的优先级别

数字等级越小，优先级越高，消息越重要

0    EMERG（紧急）：      会导致主机系统不可用的情况。如系统崩溃
1    ALERT（警告）：        必须马上采取措施解决的问题。如数据库被破坏
2    CRIT（严重）：          比较严重的情况。如硬盘错误，可能会阻碍程序的部分功能
3    ERR（错误）：          运行出现错误。不是非常紧急，尽快修复的
4    WARNING（提醒）：可能影响系统功能，需要提醒用户的重要事件。不是错误，如磁                                             盘用了85%等
5    NOTICE（注意）：  不会影响正常功能，但是需要注意的事件。无需处理
6    INFO（信息）：         一般信息。正常的系统信息
7    DEBUG（调试）：     程序或系统调试信息等。包含详细开发的信息，调试程序时使用
    none：没有优先级，    不记录任何日志消息。

5.2 举例

• mail.info      /var/log/maillog ：比指定级别更高的日志级别，包括指定级别自身，保到/var/log/maillog中。
• mail.=info      /var/log/maillog ：明确指定日志级别为info，保存至/var/log/maillog。
• mail.!info         /var/log/maillog ：除了指定的日志级别(info)所有日志级别信息，保存至/var/log/maillog。
• *.info      /var/log/maillog ：所有facility的info级别，保存至/var/log/maillog。
• mail.*     /var/log/maillog ：mail的所有日志级别信息，都保存至/var/log/maillog。
• mail.notice;news.info      /var/log/maillog ：mail的notice以上记得日志级别和news的info以上的级别保存至/var/log/maillog。
• mail,news.crit       -/var/log/maillog ：mail和news的crit以上的日志级别保存/var/log/maillog中；“-”代表异步模式。

异步模式与同步模式

异步模式下，程序会启动一个或多个线程来处理数据，主线程在处理完任务后不必等待子线程的处理结果。

同步模式下，程序在处理完一个任务之后，必须等待处理结果返回后才能进行下一步操作。

6.1 分析工具users、w 、last、lastb

last    #列出截至目前登录过系统的用户信息

lastb  #命令用于查询登录失败的用户记录

users #显示当前登录系统的所有用户的用户列表。

w     #显示目前登入系统的用户信息

last    #列出截至目前登录过系统的用户信息

lastb  #命令用于查询登录失败的用户记录

users #显示当前登录系统的所有用户的用户列表。

w     #显示目前登入系统的用户信息

 二、实验一、将ssh服务日志单独存放

1.关闭服务端和防火墙

 2.打开 /etc/rsyslog.conf配置文件

 3.添加自定义日志

 4.打开/etc/ssh/sshd_config 配置文件

 5.配置/etc/ssh/sshd_config文件

6.重启服务

 7.在另一台服务器（test2）连接此机（test1）

 8.在test2这台服务器查看test1的/var/log/ssg.log日志

三、实验二，配置日志服务器来收集日志 

接收服务器ip：192.168.234.101

发送服务器ip：192.168.234.123

1.配置发送服务器的/etc/rsyslog.conf文件

 

 2.重启发送方的服务

3.查看服务有没有起来

 4.配置接受方服务器的/etc/rsyslog.conf配置

 5.重启服务

6.查看服务有没有起来

 7.在发送方发送消息

 8.接受方

tail  -f  /var/log/messages