目录

一.inode与block

二.硬链接与软连接

三.恢复误删除的文件

四.分析日志文件


一.inode与block

(一).概述

linux文件系统与日志分析_文件系统

linux文件系统与日志分析_文件系统_02

linux文件系统与日志分析_文件系统_03

linux文件系统与日志分析_文件系统_04

访问过程

linux文件系统与日志分析_linux系统_05

(二).inode号码

linux文件系统与日志分析_文件系统_06

(三).文件存储

linux文件系统与日志分析_文件系统_07

(四).inode的大小

linux文件系统与日志分析_linux系统_08

每个inode节点的大小,一般是128字节或256字节。inode节点的总数,在格式化时就给定了,一般是每1RKB或每2欧B就设置一个inode。假定在一块1GB的硬盘中,每个inode节点关小为128字节,每1KB就设置一个inode,那么inodetable的大小就会达到128MB,占整块硬盘12.8%。

inode节点耗尽故障处理

#使用fdisk创建分区/dev / sdb1,分区大小30M即可

fdisk / dev / sdb

mkfs.ext3 / dev / sdb1

mkdir /test

mount /dev / sdb1 /test

df -i


#模拟inode节点托尽故障

for ( (i=1; i<=5680; i++) ) ;do touch /test/file $i;done

或i=i+1或i+=1

touch { 1..5680 }.txt

df -i

df -hT

删除文件恢复

rm -rf /test/*

df -i

df -hT

(五).inode特殊作用

 由于inode号码与文件名分离,导致Linux系统具备以下几种特有的现象:

1. 文件名包含特殊字符,可能无法正常删除。这时直接删除inode,能够起到删除文件的作用;

2.移动文件或重命名文件,只是改变文件名,不影响inode号码;

3.打开一一个文件以后,系统就以inode 号码来识别这个文件,不再考虑文件名。

4.文件数据被修改保存后,会生成一个新的inode号码。

删除特殊字符的文件或目录命令

linux文件系统与日志分析_日志文件_09

find ./ -inum 52305140 -exec rm -i {} \;

find ./ -inum 50464299 -delete

二.硬链接与软链接

linux文件系统与日志分析_日志文件_10

三.恢复误删文件

(一).EXT 文件恢复

linux文件系统与日志分析_文件系统_11

extundelete是一个开源的Linux数据恢复工具,支持ext3、ext4文件系统。(ext4只能在centos6版本恢复)

#使用fdisk创建分区/dev/sdc1,格式化ext3文件系统

fdisk / dev / sdb

mkfs.ext3 / dev/ sdb1    格式化

mkdir /test  

mount /dev / sdc1/test   挂载

df -hT     

安装依赖包

yum -y install e2fsprogs-devel e2fsprogs-libs 安装e2fsprogs-devel 和e2fsprogs-libs

编译安装extundelete

cd /test

wgethttp://nchc.dl.sourceforge.net/project/extundelete/extundelete/0.2.4/extundelete-0.2.4.tar.bz2

tar jxvf extundelete-o.2.4.tar.bz2 /opt   解压到opt下面

cd  /opt/extundelete-0.2.4/       切换到/opt/extundelete-0.2.4

./ configure      运行

make && make install   翻译

ln -s /usr/local/bin/extundelete /usr/bin/  建立extundelete 命令的软链接


模拟删除并执行恢复操作

cd /test

echo a>a

echo a>b

echo a>c

echo a>d

ls

extundelete / dev /sdc1 --inode 2

#查看文件系统/dev/sdc1下存在哪些文件,i节点是从2开始的,2代表该文件系统最开始的目录。

rm -rf a b   删除a和b

extundelete / dev / sdc1 --inode 2  再查看

cd ~ 

umount /test   解除挂载

extundelete /dev/sdc1 --restore-all   

 #恢复/dev/sdc1文件系统下的所有内容在当前目录~下会出现一个RECOVERED_FILES/目录,里面保存了已经恢复的文件

(二).xfs 文件备份与恢复

linux文件系统与日志分析_日志文件_12

Centos 7系统默认采用xfs类型的文件,xfs类型的文件可使用xfsdump 与xfsrestore 工具进行备份恢复。xfsdump_的备份级别有两种:0表示完全备份;1-9表示增量备份。xfsdump的备份级别默认为0。

xfsdump的命令格式为:

xfsdump -f备份存放位置要备份的路径或设备文件xfsdump命令常用的选项:

-f:指定备份文件目录

-L:指定标签session label

-M:指定设备标签medid labe.--:....--s:备份单个文件,-s后面不能直接跟路径

xfsdump使用限制:

1.只能备份己建载的文件系统2.必须使用root的权限才于能操作3.只能备份XFS文件系统

4.备份后的数据只能让xfsrestore解析

5.不能备份两个具有相同UUID的文件系统(可用blkid命令查看)

非使用fdisk创建分区/dev / sdb1,格式化xfs文件系统

fdisk / dev / sdb

partprobe /dev / sdb

mkfs.xfs / dev / sdb1

.mkfs. xfs [-f]/dev / sdb1

mkdir / data

mount / dev / sdb1 /data/

cd /data

cp letc/passwd ./mkdir test

touch test/ a

#使用xfsdump令备份整个分区rpm -qa l grep xfsdump

yum install -y xfsdump

xfsdump -f /opt/dump_sdb1 /dev/sdb1 [-L dump_sdb1 -M sdb1]

xfsdump -f /opt/dump_sdb /dev/sdb1 -L dump_sdb -M sdb1

#模拟数据丢失并使用xfsrestore命令恢复文件

cd /data/

rm -rf ./*ls

xfsrestore -f l opt/ dump_sdb1 / data/

四.分析日志文件

(一).日志文件功能分类

linux文件系统与日志分析_linux系统_13

linux文件系统与日志分析_日志文件_14

内核及系统日志由系统服务rsyslog统一 管理,主配置文件为/etc/rsyslog . conf

Linux操作系统本身和大部分服务器程序的日志文件都默认放在目录/var/1og/下。

常见的一-些日志文件:

#内核及公共消息日志:

/var/log/messages :

记录Linux内核消息及各种应用程序的公共日志信息,包括启动、I0错误、网络错误、程序故障等。

对于未使用独立日志文件的应用程序或服务,一-般都可以从该日志文件中获得相关的事件记录信息。

#计划任务日志:

/var/1og/cron: 记录crond计划任务产生的事件信息。

#系统引导日志:

/var/log/dmesg: 记录Linux系统在引导过程中的各种事件信息。

#邮件系统日志:

/var/log/maillog: 记录进入或发出系统的电子邮件活动。

#用户登录日志:

/var/log/secure: 记录用户认证相关的安全事件信息。

/var/log/lastlog: 记录每个用户最近的登录事件。二进制格式

/var/1og/wtmp: 记录每个用户登录、注销及系统启动和停机事件。。二进制格式

/var/run/btmp: 记录失败的、错误的登录尝试及验证事件。二进制格式

vim /etc/rsyslog . conf  #查看rsyslog . conf配置文件

*. info;mail. none; authpriv. none; cron. none     /var/1og/messages

*.info #表示info等级及以,上的所有等级的信息都写到对应的日志文件里,

mail.none #表示某事件的信息不写到日志文件里(这里比如是邮件)

(二).内核日志

linux文件系统与日志分析_日志文件_15

linux文件系统与日志分析_linux系统_16

(三).公共日志

/var/1og/messages文件的记录格式

时间标签:消息发出的日期和时间。

主机名:生成消息的计算机的名称。

子系统名称:发出消息的应用程序的名称。

消息:消息的具体内容。

程序自己维护日志记录,httpd 网站服务程序使用两个日志文件:

access_ _log : #记录客户访问事件

error_ _Iog #记录错误事件。

(四).用户日志分析

linux文件系统与日志分析_日志文件_17

(五).程序日志分析

linux文件系统与日志分析_日志文件_18

(六).日志管理策略

linux文件系统与日志分析_linux系统_19

总结:

1.block与inode

2.硬链接与软链接

3.恢复误删除的文件

4.Linux主要包含的日志文件

5.Linux系统的日志消息级别

6.Linux系统中用户日志的查询命令

   who、W、users、 last、 lastb