centos下管理日志服务详解 【百科全说】-凯发k8官方旗舰厅

腾讯视频/爱奇艺/优酷/外卖 充值4折起

linux服务器一般都是被放置在机房中自动运行,管理员要了解服务器或是应用程序的运行状态,大都需要通过日志。日志文件用于记录linux系统中各种运行消息,不同的日志文件记载了不同类型的信息,例如linux内核消息、用户登录记录、程序错误等。日志文件对于诊断和解决系统中的问题很有帮助,因为在linux系统中运行的程序通常会把系统消息和错误消息写入相应的日志文件,这样系统一旦出现问题就会有据可查。此外,当主机遭受攻击时,日志文件还可以帮助寻找攻击者留下的痕迹。

1. 主要日志文件

linux系统本身和大部分服务程序的日志文件默认情况下都放置在目录“/var/log”中。有些程序会共用一个日志文件,有些程序则会使用单个日志文件,还有一些比较大型的程序由于日志文件不止一个,所以会在“/var/log”目录中建立相应的子目录来存放日志文件。有相当一部分日志文件只有root用户才有权限读取,这保证了相关日志信息的安全性。

例:查看“/var/log”目录中的各种日志文件及子目录。

在这些日志文件中,比较重要或是经常用到的有:

/var/log/messages:记录linux内核消息及各种应用程序的公共日志信息,包括启动、i/o错误、网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务,一般都可以从该日志文件中获得相关的事件记录信息。

/var/log/cron:记录crond计划任务产生的事件信息。

/var/log/dmesg:记录linux系统在引导过程中的各种事件信息。

/var/log/maillog:记录进入或发出系统的电子邮件活动。

/var/log/lastlog:最近几次成功登录事件和最后一次不成功登录事件。

/var/log/rpmpkgs:记录系统中安装的各rpm包列表信息。

/var/log/secure:记录所有与安全相关以及用户登录认证过程中的事件信息。

/var/log/wtmp:记录每个用户登录、注销及系统启动和停机事件。

/var/run/utmp:记录当前登录的每个用户的详细信息。

2. 查看日志文件内容

大多数的日志文件都可以使用tail、more、less、cat等文本处理工具查看日志内容,其中在大多数情况下都是使用tail命令,这样可以方便地查看到最近的日志信息。而且如果在tail命令中加上“-f”选项,还可以实时查看到日志文件中的最新信息。

通常情况下,内核及大多数系统消息都被记录到公共日志文件“/var/log/messages”中,而其它一些程序消息被记录到不同的文件中。日志消息还能够记录到特定的存储设备中,或者直接向用户发送。

例:实时监测/var/log/messages中的日志信息。

[root@localhost ~]# tail -f /var/log/messages

oct 21 04:48:35 localhost avahi-daemon[3152]: joining mdns multicast group on interface eth0.ipv4 with address 192.168.80.130.

oct 21 04:48:35 localhost avahi-daemon[3152]: registering new address record for 192.168.80.130 on eth0.

oct 21 04:48:35 localhost net[4094]: /sbin/dhclient-script : updated /etc/resolv.conf

oct 21 04:48:35 localhost dhclient: bound to 192.168.80.130 -- renewal in 760 seconds.

oct 21 05:01:15 localhost dhclient: dhcprequest on eth0 to 192.168.80.254 port 67

oct 21 05:01:15 localhost dhclient: dhcpack from 192.168.80.254

oct 21 05:01:15 localhost dhclient: bound to 192.168.80.130 -- renewal in 723 seconds.

oct 21 05:13:18 localhost dhclient: dhcprequest on eth0 to 192.168.80.254 port 67

oct 21 05:13:18 localhost dhclient: dhcpack from 192.168.80.254

oct 21 05:13:18 localhost dhclient: bound to 192.168.80.130 -- renewal in 749 seconds.

oct 21 05:22:58 localhost kernel: installing knfsd (凯发k8官方旗舰厅 copyright (c) 1996 okir@monad.swb.de).

oct 21 05:22:58 localhost kernel: nfsd: using /var/lib/nfs/v4recovery as the nfsv4 state recovery directory

oct 21 05:22:58 localhost kernel: nfsd: starting 90-second grace period

大部分日志文件中所使用的日志记录格式都是相同的。下面以公共日志文件“/var/log/messages”为例来说明日志记录的基本格式。

日志文件中的每一行表示一条消息,每个消息均由四个字段的固定格式组成。

时间标签:消息发出的日期和时间。

主机名:生成消息的计算机的名称。

子系统名称:发出消息的应用程序的名称。

消息:消息的具体内容。

例如上面所显示的最后一条消息:

oct 21 05:22:58 localhost kernel: nfsd: starting 90-second grace period

这条消息的含义为:

10月21日05:22:58在localhost这台主机上,由内核kernel中的nfsd服务所产生的信息,信息的内容为“starting 90-second grace period”。管理日志服务

rhel系统中的内核及系统日志功能主要由rsyslogd服务提供,该服务的配置文件为"/etc/rsyslog.conf"。

rsyslogd服务默认已经安装并自动运行,/etc/rsyslog.conf配置文件则可以对日志进行设置,它可以指定那些信息需要记录,以及记录在哪里。

例:查看/etc/rsyslog.conf配置文件中的主要内容。

/etc/rsyslog.conf文件中的每一行代表一条设置值,每一条设置值的语法如下:

消息类型   执行动作

其中的"消息类型"指定哪些消息需要记录,"执行动作"则告诉系统日志服务该如何处理这些消息。

"消息类型"必须以下列的格式指定消息的种类:

消息来源.优先级

"消息来源"表示消息是从哪个子系统传送过来的,来源主要有以下这些:

authpriv:与用户安全、验证有关的消息;

cron:与计划任务有关的消息;

daemon:与一般服务有关的消息;

kern:来自系统内核的消息;

mail:来自邮件系统的消息;

localn:保留

"优先级"则用来指出消息的优先等级,即消息的重要程度。其优先级别如下(数字等级越小,优先级越高,消息越重要):

0 emerg(紧急):会导致主机系统不可用的情况。

1 alert(警告):必须马上采取措施解决的问题。

2 crit(严重):比较严重的情况。

3 err(错误):运行出现错误。

4 warning(提醒):可能影响系统功能,需要提醒用户的重要事件。

5 notice(注意):不会影响正常功能,但是需要注意的事件。

6 info(信息):一般信息。

7 debug(调试):程序或系统调试信息等。

除此之外,"消息来源"与"优先级"可以使用星号(*)代表所有,因此*.*就表示来自所有子系统的所有级别的消息。

而"执行动作"字段则用来定义如何处理接收到的消息,可以指定如下几项内容:

/path/filename:将消息存储到指定的文件中,文件必须以斜线(/)开头的绝对路径命名;

username:将消息发送给指定的已经登录的用户;

@hostname:将消息转发到指定的日志服务器;

*:将消息发送给所有已经登录的用户。

因而文件中的设置值:

authpriv.*   /var/log/secure

它所代表的含义为:将与用户安全、验证有关的所有级别的消息都存储到指定的文件/var/log/secure中。

在对“消息类型”进行设置时,有以下三种方法:

l  “.”:代表“比后面还要高的优先级(含该优先级)都被记录下来”的意思,例如:mail.info代表只要是mail的消息,而且该消息优先级高于info(含info本身)时,就会被记录下来。

l  “.=”:代表所需要的优先级就是后面的优先级而已,其他的不要。

l  “.!”:代表不等于,也就是除了该优先级外的其他优先级都记录。

比如下面的设置项:

mail.info  /var/log/maillog_info

表示mail服务产生的大于等于info优先级的信息,都记录到/var/log/maillog_info文件中。

另外,如果需要对不同类型的消息,采用同一种“执行动作”,syslog.conf允许使用分号连接多个消息,例如设置值:

*.info;mail.none;authpriv.none;cron.none          /var/log/messages

它表示的含义是:将所有的info级别以上的消息(不包括来自邮件系统的、与用户安全、验证有关的、与计划任务有关的消息),都存储到指定的文件/var/log/messages中。

12/05 18:54
centos下badblocks指令的详解 一.命令参数 badblocks使用格式为: 引用 badblocks [ -svwnf ] [ -b block-size ] [ -c blocks_at_once ] [ -i input_file ] [ -o output_file ] [ -p num_passes ] [ -t test_pattern ] device [ last-block ] [ start-block ] 参数含义是: 引用 -b blocksize 指定磁盘的
12/30 20:14
centos启动和停止服务详解 服务简介 linux 系统服务是在linux启 动时自动加载,并在linux退出时自动停止的系统任务.在linux 启动过程中,我们可以看得很多"starting - "提示信息,该信息表示正在启动系统服务;而在linux 退出时,我们也能够看到相应的"stopping - "信息,表示系统服务正在停止.linux自身有许多系统任务,如"network" 服务用于支持网络连接等.cams 在安装过程中,会自动加入三
12/23 18:09
一.简介 centos6.2系统默认是打开6个控制台和一个图形界面.对它们的切换管理操作还是很能提高工作效率的,开启多个图形化界面也是很有意思的一件事情. 二.详解 1.图形和字符界面切换 (1)开机切换 打开 /etc/inittab: [html]view plaincopy # default runlevel. the runlevels used are: # 0 - halt (do not set initdefault to this) # 1 - single user mod
12/19 21:18
tcp正常的断开,通信双方(服务端和客户端)都是能知道的.但是非正常的断开,比如直接拔掉了网线,就只能靠如下两种方法,实现短时间内的检测. 一,心跳包机制 心跳包机制,是网游设计中的常用机制.从用户层面,自己发包去判断对方连线状态.可以根据情况,很灵活的使用.比如,20秒发送一个最小的数据包(也可以根据实际情况稍带一些其他数据).如果发送没有回应,就判断对方掉线了. 二,利用tcp_keepalive机制 利用tcp的机制,通过设置系统参数,从系统层面,监测tcp的连接状态.以下为linux下的
12/10 00:29
iperf 是一个基于c/s模型的纯带宽测试软件,可以测试网卡的吞吐量. iperf的好处是纯粹发包和接收,防止硬盘拖后腿,影响测试结果. 本文以千兆网卡bcom 5720 进行测试,环境centos 6.4  x64 在两台机器上分别安装iperf yum  install iperf --enablerepo=epel 在其中一台以服务端方式启动,并开放防火墙5001端口 iperf -s -i 1 -w 448k 启动结果如下: server listening on tcp port 5
12/08 10:53
acl权限控制 设置acl权限:setfacl 查看acl权限:getfacl acl权限控制主要目的是提供传统的owner,group,other的read,wirte,execute权限之外的具体权限设置,可以针对单一用户或组来设置特定的权限 比如:某一目录权限为 drwx------ 2 root root 4096 03-10 13:51./acldir 用户user对此目录无任何权限因此无法进入此目录,acl可单独为用户user设置这个目录的权限,使其可以操作这个目录 acl启动 要使
03/17 23:48
1.mail 基本语法 h|headers 显示当前的邮件列表 l|list 显示当前支持的命令列表 ?|help 显示多个查看邮件列表的命令参数用法 d 删除当前邮件,指针并下移. d 1-100 删除第1到100封邮件 t|type|more|p|page num 阅读某一封邮件 n|next|{什么都不填} 阅读当前指针所在的下一封邮件内容;阅读时,按空格键就是翻页,按回车键就是下移一行 n|next|{什么都不填} num 阅读某一封邮件 f|from num 查看邮件头 top 显示当
01/26 11:44
一. 安装平台说明: centos6.4-i686 gcc-4.4.7 二. 下载最新源码: 在此安装的是最新版:code::blocks 16.01 三. 阅读官方安装说明文档: 通过阅读官方安装说明文档可以获取如下信息: 安装codeblocks有如下依赖关系: code::blocks-> xwwidget (> libwxgtk2.8) -> gtk (> libgtk-x11-2.0) ->x 也就是说先要安装x系统,也就是桌面吧,然后安装libgtk-x11-2
12/29 08:19
先来看一段简单代码: [cpp] view plaincopy在code上查看代码片派生到我的代码片 #include #include int main() { printf("%d\n",getpid()); while(1); } 运行结果: 这时另开一个终端,输入cat /proc/10073/maps,出现如下显示: [cpp] view plaincopy在code上查看代码片派生到我的代码片 0804800
网站地图