1、基本介绍
- 日志文件是重要的系统信息文件，其中记录了许多重要的系统事件，包括用户的登录信息、系统的启动信息、系统的安全信息、邮件相关信息、各种服务相关信息等。
- 日志对于安全来说也很重要，它记录了系统每天发生的各种事情，通过日志来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。
- 可以这样理解：日志是用来记录重大事件的工具。
2、 系统常用的日志
/var/log/目录就是系统日志文件的保存位置，看张图：
系统常用的日志一览：
日志文件 | 说明 |
| 系统启动日志 |
| 记录与系统定时任务相关的曰志 |
/var/log/cups | 记录打印信息的曰志 |
/var/log/dmesg | 记录了系统在开机时内核自检的信总，也可以使用dmesg命令直接查看内核自检信息。 |
/var/log/btmp | 记录错误登陆的日志。这个文件是二进制文件，不能直接用Vi查看，而要使用lastb命令查看。命令如下:[root@localhost log]#lastb |
| 记录系统中所有用户最后一次的登录时间的曰志。这个文件也是二进制文件，要使用lastlog命令查看 |
| 记录邮件信息的曰志 |
| 记录系统重要消息的日志.这个日志文件中会记录Linux系统的绝大多数重要信息。如果系统出现问题，首先要检查的应该就是这个日志文件。 |
| 记录验证和授权方面的倍息，只要涉及账户和密码的程序都会记录，比如系统的登录、ssh的登录、su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中。 |
/var/log/wtmp | 永久记录所有用户的登陆、注销信息，同时记录系统的后动、重启、关机事件。是二进制文件，而要使用last命令查看。 |
| 记录当前已经登录的用户的信息。这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息。这个文件不能用Vi查着，而要使用w、who、users等命令查看。 |
3、日志管理服务 rsyslogd
CentOS7.6 日志服务是 rsyslogd ， CentOS6.x 日志服务是 syslogd 。rsyslogd 功能更强大。rsyslogd 的使用、日志、文件的格式，和 syslogd 服务兼容的。
查询 Linux 中的 rsyslogd 服务是否启动
ps aux | grep "rsyslog" | grep -v "grep"查询 rsyslogd 服务的自启动状态
systemctl list-unit-files | grep rsyslog配置文件：
/etc/rsyslog.conf编辑文件时的格式为：*.*存放日志文件,其中第一个*代表日志类型，第二个*代表日志级别
日志类型分为：
auth ：pam 产生的日志
authpriv ：ssh、ftp 等登录信息的验证信息
corn ：时间任务相关
kern ：内核
lpr ：打印
mail ：邮件
mark(syslog)-rsyslog ：服务内部的信息，时间标识
news ：新闻组
user ：用户程序产生的相关信息
uucp ：unix to nuix copy 主机之间相关的通信
local 1-7 ：自定义的日志设备日志级别分为：
debug ：有调试信息的，日志通信最多
info ：一般信息日志，最常用
notice ：最具有重要性的普通条件的信息
warning ：警告级别
err ：错误级别，阻止某个功能或者模块不能正常工作的信息
crit ：严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert ：需要立刻修改的信息
emerg ：内核崩溃等重要信息
none ：什么都不记录
注意：从上到下，级别从低到高，记录信息越来越少
由日志服务 rsyslogd 记录的日志文件，日志文件的格式包含以下 4 列：
- 事件产生的时间
- 产生事件的服务器的主机名
- 产生事件的服务名或程序名
- 事件的具体信息
3、日志轮替
日志轮替就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围之后，就会进行删除。
日志轮替文件命名：
- centos7 使用 logrotate 进行日志轮替管理，要想改变日志轮替文件名字，通过
/etc/logrotate.conf配置文件中“dateext”。
参数。 - 如果配置文件中有“dateext”参数，那么日志会用日期来作为日志文件的后缀，例如 “secure-20201010”。这样日
志文件名不会重叠，也就不需要日志文件的改名， 只需要指定保存日志个数，删除多余的日志文件即可。 - 如果配置文件中没有“dateext”参数，日志文件就需要进行改名了。
当第一次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志， 用来保存新的日志。
当第二次进行日志轮替时，“secure.1”会自动改名为“secure.2”， 当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来保存新的日志，以此类推。
logrotate 配置文件：/etc/logrotate.conf 为 logrotate 的全局配置文件。
weekly：每周对日志文件进行一次轮替
rotate 4 ：共保存 4 份日志文件，当建立新的日志文件时，旧的将会被删除
create：创建新的空的日志文件，在日志轮替后
dateext：使用日期作为日志轮替文件的后缀
#compress：日志文件是否压缩。如果取消注释，则日志会在转储的同时进行压缩
include /etc/logrotate.d ：目录中所有的子配置文件。也就是说会把这个目录中所有子配置文件读取进来。
#下面是单独设置，优先级更高。
/var/log/wtmp {
monthly # 每月对日志文件进行一次轮替
create 0664 root utmp # 建立的新日志文件，权限是 0664 ，所有者是 root ，所属组是 utmp 组
minsize 1M # 日志文件最小轮替大小是 1MB 。也就是日志一定要超过 1MB 才会轮替，否则就算时间达到
一个月，也不进行日志转储
rotate 1 # 仅保留一个日志备份。也就是只有 wtmp 和 wtmp.1 日志保留而已
}
/var/log/btmp {
missingok # 如果日志不存在，则忽略该日志的警告信息
monthly
create 0600 root utmp
rotate 1
}下面对配置参数加以说明：：
参数 | 参数说明 |
daily | 日志的轮替周期是每天 |
weekly | 日志的轮替周期是每周 |
monthly | 日志的轮替周期是每月 |
rotate 数字 | 保留的日志文件的个数。0 指没有备份 |
compress | 日志轮替时，旧的日志进行压缩 |
create mode owner group | 建立新日志，同时指定新日志的权限与所有者和所属组。 |
mail address | 当日志轮替时，输出内容通过邮件发送到指定的邮件地址。 |
missingok | 如果日志不存在，则忽略该日志的警告信息 |
notifempty | 如果日志为空文件，则不进行日志轮替 |
minsize 大小 | 日志轮替的最小值。也就是日志一定要达到这个最小值才会轮替，否则就算时间达到也不轮替 |
size 大小 | 日志只有大于指定大小才进行日志轮替，而不是按照时间轮替。 |
dateext | 使用日期作为日志轮替文件的后缀。 |
sharedscripts | 在此关键字之后的脚本只执行一次。 |
prerotate/endscript | 在日志轮替之前执行脚本命令。 |
postrotate/endscript | 在日志轮替之后执行脚本命令。 |
日志加入日志轮替的两种方式：
- 第一种方法是直接在
/etc/logrotate.conf配置文件中写入该日志的轮替策略- 第二种方法是在
/etc/logrotate.d/目录中新建立该日志的轮替文件，在该轮替文件中写入正确的轮替策略，因为该目录中的文件都会被“include”到主配置文件中，所以也可以把日志加入轮替。(推荐)
日志轮替之所以可以在指定的时间备份日志，是依赖系统定时任务。在 /etc/cron.daily/目录，就会发现这个目录中是有 logrotate 文件(可执行)，logrotate 通过这个文件依赖定时任务执行的。
4、查看内存日志
journalctl
参数 | 参数说明 |
journalctl | 查看全部 |
journalctl -n 3 | 查看最新 3 条 |
journalctl --since 19:00 --until 19:10:10 | 查看起始时间到结束时间的日志可加日期 |
journalctl -p err | 报错日志 |
journalctl -o verbose | 日志详细内容 |
journalctl _PID=1245 _COMM=sshd | 查看包含这些参数的日志（在详细日志查看）或者 journalctl |
注意: journalctl 查看的是内存日志, 重启清空。
