一、日志管理
日志：一个文件，记录当前系统、用户、程序的工作状态
1.目录位置
（1）系统、用户、RPM（YUM）安装：/var/log/目录下 （2）源码安装：安装目录下，log目录 （3）anaconda（响应程序，用于运行图形化安装向导），安装过程产生日志/var/log/anaconda.* anaconda快捷键：Ctrl+Alt+F3（查看安装过程中网络情况）、Ctrl+Alt+F4（查看安装过程中内核情况）、Ctrl+Alt+F5（查看安装过程中的详细安装情况）、Ctrl+Alt+F6（回到安装向导）
2.日志文件分类
二进制日志文件：不能支持查看，只能通过特有命令调用日志文件查看 普通文件日志：可直接查看，如cat、tail -f等 （1）常见系统日志
/var/log/anaconda.* //记录系统安装系统中相关运行情况
/var/log/audit/ //记录audit（审计）情况
/var/log/boot.log //记录启动过程中的内核情况
/var/log/btmp //记录所有用户登陆失败的信息（该日志文件不能直接查看）
/var/log/ConsoleKit/ //记录终端相关情况
/var/log/cron //记录crontab计划任务情况
/var/log/dmesg //记录引导过程中相关硬件工作情况
/var/log/dracut.log //记录initramfs（小型Linux系统）状态
/var/log/lastlog //记录用户登陆信息
/var/log/maillog //记录邮件情况
/var/log/messages //记录内核、系统、程序等综合性情况
/var/log/ntpstats/ //记录ntp时间同步信息
/var/log/prelink/ //记录prelink程序工作情况（预链接工具）
/var/log/wtmp //记录所有用户登陆成功的信息
/var/log/sa/ //记录sar（性能统计工具，分析性能）情况
/var/log/secure //记录hu安全认证情况（PAM认证）、一般记录密码情况
/var/log/spooler //保存特殊文件的情况，并只记录crit级别日志
/var/log/tallylog //记录pam认证相关内容
/var/log/yum.log //记录yum安装情况
（2）wtmp、btmp、lastlog日志文件查看
lastlog //查看系统登录成功情况（读取/var/log/wtmp）
last或logb //查看系统登录失败的信息（读取/var/log/btmp）
w或who //查看当前已登录用户信息（读取/var/log/lastlog）
3.日志格式
（1）Jun 25 10:16:53 hiahia abrtd:init complete.entering main loop
发生时间 主机名 程序名：事件
（2）08:33:24,071 INFO :Copying anaconda logs
发生时间 日志级别/程序名：事件
4.日志级别
0（EMERG）紧急：系统不可用
1（ALERT）警告：必须马上采取措施
2（CRIT）严重：比较严重的错误
3（ERR）错误：软件运行出现错误
4（WARNING）提醒：可能影响系统功能，给出用户提醒
5（NOTICE）注意：不会影响系统功能，给出用户提醒
6（INFO）信息：一般信息
7（DEBUG）调试：程序或系统调试信息
注：一般程序记录日志级别为3、4、6、7比较常见
二、远程日志管理案例
部署服务端
1.关闭防火墙和selinux
/etc/init.d/iptables stop //清空防火墙规则
setenforce 0 //临时允许Selinux
2.开启rsyslog服务的514号端口
vim /etc/rsyslog.conf
:se nu(显示行号)
$ModLoad imudp //13行，删除#
$UDPServerRun 514 //14行，删除#
$ModLoad imtcp //17行，删除#
$InputTCPServerRun 514 //18行，删除#
3.编写配置文件
grep fromhost -r /usr/share/doc/rsyslog*
vim /etc/rsyslog.d/remote.conf //新建配置文件
:fromhost-ip,isequal, "192.168.12.41" /var/log/remote-1.log //客户端服务器的IP地址
:fromhost-ip,isequal, "192.168.12.41" ~ ## 添加~后客户端的信息只保存在上面的文件中
:fromhost-ip,isequal, "192.168.12.42" /var/log/remote-2.log
:fromhost-ip,isequal, "192.168.12.42" ~
/etc/init.d/rsyslog restart //重启远程日志文件
netstat -utpln |grep 514 //查看是否开启服务的514端口
部署客户端-1
1.关闭防火墙和selinux
/etc/init.d/iptables stop //清空防火墙规则
setenforce 0 //临时允许Selinux
2.编辑配置文件
vim /etc/rsyslog.conf ##注释定义存到本地日志文件的行(34-61) :34,63s/^/#/g
*.* @@(o)192.168.12.40:514 ##79行,,两个@是走TCP（o）是为后面的端口号用
/etc/init.d/rsyslog restart //重启远程日志服务
部署客户端-2
1.关闭防火墙和selinux
/etc/init.d/iptables stop //清空防火墙规则
setenforce 0 //临时允许Selinux
2.编辑配置文件
vim /etc/rsyslog.conf ##注释定义存到本地日志文件的行(34-61) :34,63s/^/#/g（如不注释则本地远程各存一个日志信息）
*.* @@(o)192.168.12.40:514 ##79行,,两个@是走TCP（o）是为后面的端口号用
/etc/init.d/rsyslog restart //重启远程日志服务
验证
客户端-1：logger "123" //去服务端(tail -f /var/log/remote-1.log)查看
客户端-2：logger "123" //去服务端(tail -f /var/log/remote-2.log)查看
