1. 简介

(1) 日志服务

在CentOS 6.x中日志服务已经由rsyslogd取代了原先的syslogd服务。rsyslogd日志服务更加先进，功能更多。但是不论该服务的使用，还是日志文件的格式其实都是和syslogd服务相兼容的，所以学习起来基本和syslogd服务一致。

rsyslogd的新特点：

基于TCP网络协议传输日志信息；更安全的网络传输方式；有日志消息的及时分析框架；后台数据库；配置文件中可以写简单的逻辑判断；与syslogd配置文件相兼容。

1）确定服务启动

ps aux | grep rsyslogd #查看服务是否启动

chkconfig –list | grep rsyslog #查看是否自启动

2）常见日志的作用

除了系统默认的日志之外，采用RPM方式安装的系统服务也会默认把日志记录在/var/log/目录中(源码包安装的服务日志是在源码包指定目录中)，不过这些日志不是由rsyslogd服务来记录和管理的，而是由各个服务使用自己的日志管理文档来记录自身日志。常见的日志有：

2. rsyslogd日志服务

(1) 日志文件格式

基本日志格式包含四列：事件产生的时间；发生事件的服务器的主机名；发生事件的服务名或程序名；事件的具体信息。

(2) /etc/rsyslog.conf配置文件

authpriv.*                                              /var/log/secure

#服务名称[连接符号]日志等级          日志记录位置

#认证相关服务.所有日志等级           记录在/var/log/secure日志中

(3) 连接符号

一般的连接符号可识别为：

"*"代表所有日志等级，比如："authpriv.*"代表authpriv认证信息服务产生的日志，所有的日志等级都记录；

"."代表只要比后面的等级高的(包含该等级)日志都记录下来。比如："cron.info"代表cron服务产生的日志，只要日志等级大于等于info级别，就记录；

".="代表只记录所需等级的日志，其他等级的都不记录。比如："*.=emerg"代表人和日志服务产生的日志，只要等级是emerg等级就记录。这种用法很少见，了解即好；

".!"代表不等于，也就是除了该等级的日志外，其他等级的日志都记录。

(4) 日志等级

(5) 日志记录位置

日志文件的绝对路径，如"/var/log/secure"；

系统设备文件，如"/dev/lp0"；

转发给远程主机，如"@192.168.0.210:514"；

用户名，如"root"；

忽略或丢弃日志，如"~"

3. 日志轮替

(1) 日志文件的命名规则

第一种：如果配置文件中拥有“dateext”参数，那么日志会用日期作为日志文件的后缀，例如“secure-20130603”。这样的话日志文件名不会重叠，所以也就不需要日志文件的改名，只需要保存指定的日志个数，删除多余的日志文件即可。

第二种：如果配置文件中没有“dateext”参数，那么日志文件就需要进行改名了。当第一次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志，用来保存新的日志。当第二次进行日志轮替时，“secure.1”会自动改名为“secure.2”，当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来保存新的日志，以此类推。

(2) logrotate配置文件

该配置文件位于/etc/logortate.conf

注：大括号外的表示全局配置，而大括号内的如果有相同的配置，则按照大括号内的配置进行轮替，否则按照大括号外的进行轮替。

(3) 把apache日志加入轮替

如果是RPM包安装的服务，默认以支持轮替，不需要做任何操作。只有源码包安装的服务，才需要手工配置轮替。

/usr/local/apache2/logs/目录下的访问日志和错误没有进行轮替，需要加上。

vi /etc/logrotate.log

/usr/local/apache2/logs/access_log{

daily

create

rotate 30

}

(4) logrotate命令

其格式为：logrotate [选项] 配置文件名

如果此命令没有选项，则会按照配置文件中的条件进行日志轮替；-v选项显示日志轮替过程。加了-v选项，会显示日志的轮替的过程；-f选项会强制进行日志轮替。不管日志轮替的条件是否已经符合，强制配置文件中所有的日志进行轮替。

例：添加了apache的轮替配置后，使用该命令进行验证。