- 日志介绍
日志文件是重要的信息系统文件，其中记录了许多重要的零碎事件，包含用户的登录信息、零碎的启动信息、零碎的平安信息、邮寄相干信息、各种服务相干信息。不仅如此，日志对于平安来说也很重要，它记录了零碎每天产生的各种事件，能够通过日志来查看谬误产生的起因或者受到攻打时攻击者留下的痕迹。总的来说，日志就是记录重大事件的工具。
Linux 操作系统中罕用的日志保留于 /var/log/ 目录中：
/var/log/boot.log // 系统启动日志
/var/log/cron // 记录与零碎定时工作相干的日志
/var/log/cups // 记录打印信息的日志
/var/log/dmesg // 记录了零碎在开机时内核自检的信息，这些信息也能够间接应用 dmesg 命令来查看
/var/log/btmp // 记录谬误登录的日志，该文件为二进制文件，须要应用命令 lastb 查看，不能间接用 vim 查看
/var/log/lastlog // 记录零碎中所有用户最初一次登录工夫的日志，该文件为二进制文件，要应用命令 lastlog 查看
/var/log/mailog // 记录邮件信息的日志
/var/log/message // 记录零碎重要信息的日志，该日志中有着 Linux 中绝大多数重要的信息，如果零碎呈现问题首先应该查看的就是这个文件
/var/log/secure // 记录验证和受权方面的信息，只有波及账户和明码的程序都会记录，比方零碎登录、ssh 登录、增加用户、批改用户明码等
/var/log/wtmp // 永恒记录所有用户的登录、登记信息，同时记录零碎的启动、重启、关机事件，应用 last 命令查看
/var/tun/ulmp // 记录以后曾经登录的用户的信息，这个文件会随着用户的登录和登记一直变动，只记录以后登录用户的信息，能够应用 w、who、users 等命令查看
- 日志治理服务 rsyslogd
CentOS 6.x 版本的日志服务是 syslogd；CentOS 7.x 版本的日志服务是 rsyslogd，二者是兼容的。这里应用的 rsyslogd，它的性能更加弱小。rsyslogd 其实就是一个后盾的程序 / 服务，来治理和操作系统中的日志。查问 Linux 中的 rsyslogd 服务是否启动应用命令 ps aux | grep “rsyslog” | grep -v “grep”；
查问 rsyslogd 服务的自启动状态应用指令 systemctl list-unit-files | grep rsyslog；
- 配置文件 /etc/rsyslog.conf
须要晓得，rsyslogd 治理日志以及各个目录中日志的含意，都是由配置文件【/etc/rsyslog.conf】来规定的。编辑配置文件时的格局为 .，第一个 代表日志类型，第二个 代表日志级别。
日志类型
auth pam 产生的日志
authpriv ssh、ftp 等登录信息的信息验证
corn 工夫工作相干
kern 内核
lpr 打印
mail 邮件
mark(syslog)-rsyslog 服务外部的信息，工夫标识
news 新闻组
user 用户程序产生的相干信息
uucp unix to nuix copy 主机之间相干的通信
local 1-7 自定义的日志设施
日志级别（从上到下，级别越来越高，记录信息越来越少）
debug 有调式信息的，日志通信最多
info 个别信息日志，最罕用
notice 最具重要性的的 一般条件的信息
warning 正告级别
err 谬误级别，阻止某个性能或者模块不能失常工作的信息
crit 重大级别，组织整个零碎或者整个软件不能失常工作的信息
alert 须要立刻批改的信息
emerg 内核解体等重要信息
none 什么都不记录
- 查看日志文件中的日志
由日志服务 rsyslogd 记录的日志文件格式蕴含 4 列：
产生事件的工夫
产生事件的服务器的主机名
产生事件的服务名或程序名
事件的具体信息
如咱们查看一下 /var/log/secure 日志；
- 自定义日志
案例：在 /etc/rsyslog.conf 中增加一个日志文件 /var/log/mjj.log，当有事件产生时，该文件接管信息并保留。
进入配置文件
[root@majinjian ~]# vim /etc/rsyslog.conf
增加以下代码，意为将所有类型的日志增加至 mjj.log；
wq 保留后创立 mjj.log 文件，此时查看该文件是空的；
[root@majinjian /]# > /var/log/mjj.log
接下来应用命令 reboot 重启零碎并扽古，再次查看 mjj.log 文件；
- 日志轮替
什么是日志轮替
日志轮替就是把旧的日志文件挪动并改名，同时建设新的空日志文件，当旧的日志文件超出保留的范畴之后就会删除。
CentOS7 应用 logrotate 进行日志轮替治理，若想要扭转日志轮替文件名字，批改 /etc/logrotate.conf 配置文件中的 dateext 参数。
如果配置文件中有 dateext 参数，那么日志会用日期作为日志文件的后缀，例如 mjj-20220607；这样日志文件名就不会重叠，也就不须要改名了，只需指定日志保留个数，删除多余的日志文件。
如果配置文件中没有 dateext 参数，日志文件就须要进行改名了。比方第一次日志轮替时，以后的 mjj 日志会主动改名为 mjj.1，而后新建 mjj 日志，用来保留新的日志，当第二次日志轮替时，mjj.1 主动改名为 mjj.2，以后的 mjj 日志改名为 mjj.1，而后新建 mjj 日志，用于保留新的日志，以此类推。
日志轮替配置文件
/etc/logrotate.conf 文件是 logrotate 的全局配置文件，该文件内容如下：
[root@majinjian logrotate.d]# cat /etc/logrotate.conf
see “man logrotate” for details
rotate log files weekly 每周对日志文件进行一次轮替（默认）
weekly
keep 4 weeks worth of backlogs 共保留四份日志文件，当建设新的文件时旧的会被删除
rotate 4
create new (empty) log files after rotating old ones 在日志轮替后创立新的空日志文件
create
use date as a suffix of the rotated file 应用日期作为日志文件名的后缀
dateext
uncomment this if you want your log files compressed 日志文件是否压缩，若勾销正文日志会在转储的同时进行压缩
compress
RPM packages drop log rotation information into this directory
蕴含 /etc/logrotate.d 目录中所有的子配置文件，也就是会读取所有文件
include /etc/logrotate.d
为某个日志独自设置规定 / 策略时应用以下语法
no packages own wtmp and btmp — we’ll rotate them here
/var/log/wtmp {
monthly #每月对日志文件进行一次轮替
create 0664 root utmp #建设新的日志文件，权限是 0664，所有者是 root，所属组是 utmp 组
minsize 1M #日志文件最小轮替大小是 1M，也就是说日志日志要超过 1M 才会轮替
rotate 1 #仅保留一个日志备份，也就是说只有 wtmp 和 wtmp.1 保留}
/var/log/btmp {
missingok #如果日志不存在，疏忽该日志的正告信息
monthly
create 0600 root utmp
rotate 1}
system-specific logs may be also be configured here.
[root@majinjian logrotate.d]#
配置文件中各代码段参数含意
参数 含意
daily 日志的轮替周期是每天
weekly 日志的轮替周期是每周
monthly 日志的轮替周期是每月
rotate 数字 保留的日志文件的个数。0 指没有备份
compress 日志轮替时，旧的日志进行压缩
create mode owner group 建设新日志，同时指定新日志的权限与所有者和所属组
mail address 当日志轮替时，输入内容通过邮件发送到指定的邮件地址
missingok 如果日志不存在，则疏忽该日志的正告信息
notifempty 如果日志为空文件，则不进行日志轮替
minsize 大小 日志轮替的最小值。也就是日志肯定要达到这个最小值才会轮替，否则就算工夫达到也不轮替
size 大小 日志只有大于指定大小才进行日志轮替，而不是依照工夫轮替
dateext 应用日期作为日志轮替文件的后缀
sharedscripts 在此关键字之后的脚本只执行一次
prerotate/endscript 在日志轮替之前执行脚本命令
postrotate/endscript 在日志轮替之后执行脚本命令
能够独自为某个日志规定策略，也能够把某个日志文件的轮替规定写到 /etc/logrotate.d 目录中，如系统启动日志 boot.log 就是在此目录中：
为本人的日志独自指定轮替规定
在这里咱们还是操作呢之前创立的日志文件 mjj.log；
为某个日志文件独自指定轮替规定有两种形式：
间接在 /etc/logrotate.conf 配置文件中写入日志的轮替规定。
在 /etc/logrotate.d/ 目录中新建该日志的轮替文件并写入轮替规定，因为该目录中的所有子配置文件都被蕴含于 /etc/logrotate.conf 中，所以也能够把日志退出轮替（举荐）。
接下来咱们应用第二种办法为 mjj.log 日志新建轮替文件 mjjlog，并退出自定义的规定；
创立轮替文件
[root@majinjian logrotate.d]# vim mjjlog
创立规定
/var/log/mjj.log
{
missingok
daily
copytruncate
rotate 3
notifempty
}
保留后如下，此时该文件就会被全局配置文件所辨认，依照指定规定对 mjj.log 日志进行轮替。
日志轮替机制
日志轮替之所以能够在指定的工夫备份日志，是因为它依赖零碎定时工作。在 /etc/cron.daily/ 目录中有一个文件 logrotate，日志轮替 logrotate 就是通过这个文件依赖定时执行工作的。
查看内存日志
在 Linux 中有一部分日志是先写到内存里的，这些日志是实时变动，跟零碎内存相干。每次重启零碎内存日志都会被清空。查看内存日志应用指令 journalctl。
journalctl #查看全副日志
journalctl -n 3 #查看最新三条日志
journalctl –since 13:000 –until 15:30 # 查看起始工夫到完结工夫的日志
journalctl -p err #报错日志
journalctl -o verbose #日志具体内容
journalctl _PID=123 _COMM=sshd #查看蕴含这些参数的日志