第13章 Linux日志管理

1. 日志管理

（1）简介

　　在CentOS 6.x中日志服务己经由rsyslogd取代了原先的syslogd服务。rsyslogd日志服务更加先进，功能更多。但是不论该服务的使用，还是日志文件的格式其实都是和syslogd相兼容的。

（2）rsyslogd的新特点

　　①基于TCP网络协议传输日志信息

　　②更安全的网络传输方式

　　③有日志消息的及时分析框架

　　④后台数据库

　　⑤配置文件中可以写简单的逻辑判断。

　　⑥与syslogd配置文件相兼容

（3）查看rsyslogd服务是否启动：

　　①#ps aux | grep rsyslogd  //是否启动

　　②#chkconfig --list | grep rsyslog  //是否自启动

（4）常见日志的作用

（5）除了系统默认的日志之外，采用RPM方式安装的系统服务也会默认把日志记录在/var/log/目录（源码包安装的服务日志是在源码包指定目录中）。不过这些日志不是由rsyslogd服务来记录和管理的，而是各个服务使用自己的日志管理文档来记录自身日志。

2. rsyslogd日志服务

（1）日志文件格式（包含4列）

　　①事件产生的时间

　　②发生事件的服务器的主机名

　　③产生事件的服务名或程序名

　　④事件的具体信息

（2）/etc/rsyslog.conf配置文件

①文件内容：

　　　　服务器名称[连接符号] 日志等级    日志记录位置

　　　　authpriv.*                        /var/log/secure   //“.”为连接符号，表示大于等于后面指定的等级。“*”表示所有等级，该语句的意思是把与认证相关服务的所有日志都记录在/var/log/secure文件中。

　　②服务名称

　　③连接符号

　　④日志等级

　　⑤日志记录位置：

　　　　A.绝对路径：如“/var/log/secure”

　　　　B.系统设备文件：如“/dev/lp0”

　　　　C.转发给远程主机，如“@192.168.0.210:514”

　　　　D.用户名，如“root”

　　　　E.忽略或丢弃日志，如“~”

3. 日志轮替

（1）日志文件的命令规则

　　①如果配置文件中拥有“dateext”参数，那么日志会用日期来作为日志文件的后缀。如“secure-20170107”。这样的话日志文件名就不会重叠，所以也就不需要日志文件的改名，只需要保存指定的日志个数，删除多余的日志文件即可。

　　②如果配置文件中没有“dateexte”参数，那么日志文件就需要进行改名。当第1次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志，用来保存新的日志。当第2次进行日志轮替时，“secure.1”会被自动改名为secure.2，当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志用来保存新的日志，以此类推。

（2）logrotate配置文件(/etc/logrotate.conf)

（3）将apache日志加入轮替(一般源码包安装的程序才需手工加入日志轮替，RPM包安装的会自动加入)

#vi /etc/logrotate.conf

/usr/local/apache2/logs/access_log{  //用绝对路径写明要加入轮替的日志
    daily
    create
    rotate 30
}

（4）logrotate命令：#logrotate [选项] 配置文件