日志的管理

在做以下实验时需先做的操作为&＃xff1a;

&＃xff08;1&＃xff09;打开两个虚拟机&＃xff08;desktop和server&＃xff09;并更改他们的ip

    &＃xff08;可用nm-connection-eidtor  #图形设定ip&＃xff09;

&＃xff08;2&＃xff09;更改两个虚拟机的名称&＃xff08;hostnamectl set-hostname       

    node1.example.com #将虚拟机的名字改为node1&＃xff09;

&＃xff08;3&＃xff09;在真机中打开两个shell&＃xff0c;用ssh命令分别连接两个虚拟机

注&＃xff1a;ctrl&＃43;shift&＃43;t  #再打开一个shell

1.日志的采集规则&＃xff1a;

*.*     文件名称&＃xff08;绝对路径&＃xff09;   #日志类型.日志级别    日志存放的文件

vim /etc/rsyslog.conf       #查看并修改采集日志文件配置&＃xff0c;

                                        使我们能够采集日志到指定位置

systemctl stop rsyslog.service    #停止收集日志的服务

systemctl start  rsyslog.service  #开始收集日志的服务

 &＃xff08;1&＃xff09;日志类型

auth          #用户登陆日志&＃xff08;pam生日志&＃xff09;

authpriv      #服务认证日志&＃xff08;sshd认证&＃xff09;

kern          #内核日志

cron          #定时任务日志

lpr           #打印机日志

mail          #邮件日志

news          #新闻

user          #用户相关程序日志

local  1-7    #用户自定义日志

&＃xff08;2&＃xff09;日志级别

debug              系统调试信息

info                  常规信息

warning            警告信息

err                报错&＃xff08;级别低&＃xff0c;阻止了某个工作不能正常工作&＃xff09;

crit               报错&＃xff08;级别高&＃xff0c;阻止了整个软件或整个系统不能正常工作&＃xff09;

alert              需要立即修改的信息

emerg           内核崩溃

none            不采集任何日志信息

&＃xff08;3&＃xff09;系统常用日志

/var/log/messages     #所有日志级别的常规信息&＃xff08;不包含邮件&＃xff0c;服务认证&＃xff0c;定时任务)

/var/log/maillog      #邮件认证

/var/log/secure       #服务认证日志

/var/log/cron         #定时任务日志

 例如&＃xff1a;

*.*  /var/log/log.all  #将所有级别所有类型的日志采集到/var/log/log.all里

auth.debug  /var/log/westos#用户登陆的系统调试信息放到/var/log/westos里

auth.*     /var/log/file  #将用户登陆的所有级别的日志放到/var/log/file里

注意&＃xff1a;

日志可以直接看出系统中的错误&＃xff0c;日志存在于内存中&＃xff0c;修改rsyslog(配置文件)的意义在于将内存中的日志采集放到硬盘里

实验1.1具体操作步骤如下&＃xff1a;

在服务端&＃xff08;note2&＃xff09;

   > /var/log/messages         #清空日志

   cat /var/log/messages       #查看日志&＃xff08;没有日志&＃xff09;

   systemctl restart sshd.service  #重启服务

   cat /var/log/messages       #&＃xff08;有日志&＃xff09;

   systemctl stop rsyslog.service  #停止收集日志的服务

   > /var/log/messages

   systemctl restart sshd.service

   cat /var/log/messages       #&＃xff08;没有日志&＃xff09;

   systemctl start  rsyslog.service  #开始收集日志的服务

   cat /var/log/messages      # (有日志&＃xff09;

实验1.2&＃xff08;将日志采集到指定位置&＃xff09;具体操作步骤如下&＃xff1a;

在服务端&＃xff08;note2&＃xff09;

> /etc/rc.d/rc.local  #清空虚拟机一直产生的日志和脚本&＃xff08;本地日志&＃xff09;

> /var/log/westos     #清空日志

cat /var/log/messages #查看日志是否被清空

vim /etc/rsyslog.conf #更改rsyslog.conf配置文件

#################################

*.info;mail.none;authpriv.none;cron.none                /var/log/messages

*.*                                                     /var/log/file

 cat /var/log/file

在客户端测试&＃xff08;note1&＃xff09;

ssh root&＃64;172.25.254.130    #连接服务端

exit                       #退出连接

在服务端

systemctl start  sshd.service #重启服务

cat /var/log/file          #查看日志内容(有node1登陆的记录)

2.日志的远程同步

   它的意义在于实现多台主机向一台主机传输日志&＃xff0c;便于管理者高效的查看多台主机的日志。

 具体实验2操作步骤如下&＃xff1a;

在服务端&＃xff08;发送方&＃xff09;

> /etc/rc.d/rc.local   #清空虚拟机一直产生的日志和脚本&＃xff08;本地日志&＃xff09;

> /var/log/message     #清空日志

cat /var/log/messages

vim /etc/rsyslog.conf

####################################

*.*             &＃64;172.25.254.130       #日志接收方地址

 systemctl restart  rsyslog.service    #重启配置文件

在客户端&＃xff08;接收方&＃xff09;

>  /etc/rc.d/rc.local  #清空虚拟机一直产生的日志和脚本&＃xff08;本地日志&＃xff09;

> /var/log/message     #清空日志

cat /var/log/messages

vim   /etc/rsyslog.conf        #设置接受方端口

#############################

15 $ModLoad imudp   #           #打开插件

16 $UDPServerRun 514           #打开插件接口&＃xff08;取消注释#即可&＃xff09;

systemctl restart rsyslog.service

systemctl stop firewalld      #关闭接收方防火墙

systemctl disable firewalld   #开机时开启防火墙

cat /var/log/messages         #查看日志

3.定义日志采集格式

$template  格式名称&＃xff0c; "日志采集格式"

具体的日志采集格式&＃xff1a;

%timegenerated%    #日志生成时间

%FROMHOST-IP%      #日志来源主机的IP

%systag%           #日志生成程序

%msg%              #日志内容

\n                 #换行

具体实验3操作步骤如下&＃xff1a;

在客户端&＃xff08;接收方&＃xff09;

>  /etc/rc.d/rc.local   #清空虚拟机一直产生的日志和脚本&＃xff08;本地日志&＃xff09;

vim /etc/rsyslog.conf   #编辑配置文件&＃xff0c;定义采格式

###########################

$template westos, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg% \n "                                                      #定义为westos格式

*.info;mail.none;authpriv.none;cron.none       /var/log/messages;westos

systemctl restart rsyslog.service

cat /var/log/messages          #查看日志

5. journalctl命令

      journalctl &＃43; 参数       #日志的查看

具体参数的含义&＃xff1a;

 -p  err #查看报错日志

 -f      #监控 &＃xff08;用户ctrl&＃43;c结束监控&＃xff09;

 --since  时间点 --until  时间点  #查看从何时到何时的日志

 -o   verbose    #查看日志详细参数

 -n      3       #最新&＃xff08;new&＃xff09;的三条日志

 -o   verbose     #从详细参数中可以查到日志的PID   

 journalctl _PID&＃61;84    #直接查看PID为84的程序产生的日志

例如&＃xff1a;journalctl  --since 01:30 --until 01:40  #查看从1&＃xff1a;30到1&＃xff1a;40产生的日

&＃xff08;1&＃xff09;对systemd-journald管理

默认此程序只负责对日志进行查看而不能对日志进行保存和采集

那么关机后再开机&＃xff0c;只能查看到开机后的日志&＃xff0c;因为系统之前的日志是保存在内存中的&＃xff0c;

所以关机后就被清空了&＃xff0c;那么在开机时用journalctl看不到的

&＃xff08;2&＃xff09;如何让systemd-journald将日志保存到硬盘中

mkdir /var/log/journal       #建立目录

groupadd systemd-journald    #建立组

chgrp systemd-journald /var/log/journal   #在该目录下的创建所有文件   均属于systemd-journald组

chmod g&＃43;s /var/log/journal   #

killall -1  systemd-journald  #结束组中的所有进程

journalctl -n 3    #查看关机之前的日志,以便后边对照观察

date    #查看时间

reboot  #重启

ssh root&＃64;172.25.254.230

journalctl   #(此时可查看到关机之前的所有日志&＃xff09;

6.时间同步

#在服务端共享时间

vim /etc/chrony.conf

######################

29 local stratum           #共享时间共享功能并设定共享级别&＃xff0c;

                            这个参数开启后本机不去同步别人的时间到本机

22 allow 172.25.254.0/24   #允许网络位相同的所有客户端来访问本机共享的时间

systemctl restart chronyd

#在客户端&＃xff1a;

vim /etc/chrony.conf

################

server 172.25.254.230 iburst

systemctl restart chronyd

systemctl stop  firewalld  #关闭防火墙

chronyc sources -v

*********************************************************************

  .-- Source mode  &＃39;^&＃39; &＃61; server, &＃39;&＃61;&＃39; &＃61; peer, &＃39;#&＃39; &＃61; local clock.

 / .- Source state &＃39;*&＃39; &＃61; current synced, &＃39;&＃43;&＃39; &＃61; combined , &＃39;-&＃39; &＃61; not combined,

| /   &＃39;?&＃39; &＃61; unreachable, &＃39;x&＃39; &＃61; time may be in error, &＃39;~&＃39; &＃61; time too variable.

||                                                 .- xxxx [ yyyy ] &＃43;/- zzzz

||                                                /   xxxx &＃61; adjusted offset,

||         Log2(Polling interval) -.             |    yyyy &＃61; measured offset,

||                                  \            |    zzzz &＃61; estimated error.

||                                   |           |                         

MS Name/IP address         Stratum Poll Reach LastRx Last sample

&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;&＃61;

^* 172.25.254.128               10   6    17     0  &＃43;6500ns[ &＃43;111us] &＃43;/-  988us

7.与timedatectl有关的命令

timedatectl                            #查看时间信息

timedatectl list-timezones             #查看所有时区

timedatectl set-timezone Asia/Shanghai #设置为上海的时区

timedatectl set-local-rtc  0           #使用UTC时间

vim /etc/adjtime                       #在此文件中显示UTC

timedatectl set-local-rtc  1           #使用local&＃xff08;本地&＃xff09;时间

vim /etc/adjtime                       #在此文件中显示local

timedatectl set-time "年-月-日  时&＃xff1a;分&＃xff1a;妙" #修改时间

date  #查看时间

例如 timedatectl set-time "2018-11-11 11:11:11"

8.与at有关的命令&＃xff08;延迟任务&＃xff09;

at 时间          #设定在该时刻要进行什么操作

at now&＃43;数字min   #在几分钟后要进行什么操作

at  -l                 #查看该操作的编号

at  -c  3              #查看编号为3要做什么操做

at  -r  3              #撤回编号为3的操作

例如:

at 16:00

>touch /mnt/file{1..3} #要做的操作

>                #(按ctrl&＃43;d)

注&＃xff1a;做以上操作时需打开一个shell用ssh连接相同的虚拟机

   用watch -n 1 ls /mnt 来监控&＃xff0c;便于观察现象

vim   /etc/at.deny      #编辑at配置文件&＃xff0c;指定黑名单&＃xff08;即用户不能执行at操作&＃xff09;

touch /etc/at.allow     #建立白名单的配置文件&＃xff08;系统默认没有白名单配置文件。白名单一旦出现&＃xff0c;黑名单便会失效&＃xff0c;即只有超级用户能执行at命令&＃xff09;

vim   /etc/at.allow     #编辑at配置文件&＃xff0c;指定白名单&＃xff0c;即指定用户和root用户才能>执行at操作