Linux学习笔记-12. 日志管理

 

 

12.日志管理

 

 

12.1.日志管理简介

 

 

1、日志服务

 

在CentOS 6.x中日志服务已经由rsyslogd取代了原先的syslogd服务。rsyslogd日志服务更加先进，功能更多。但是不论该服务的使用，还是日志文件的格式其实都是和syslogd服务相兼容的，所以学习起来基本和syslogd服务一致。

 

 

2、rsyslogd的新特点

基于TCP网络协议传输日志信息

更安全的网络传输方式

有日志消息的及时分析框架

后台数据库

配置文件中可以写简单的逻辑判断

与syslog配置文件相兼容

 

 

3、确定服务启动

 

查看服务是否启动

ps aux|grep rsyslogd

 

 

查看服务是否自动

chkconfig –list|grep rsyslog

 

貌似这个命令不行了，在centos7上，系统服务提示用这个命令：systemctl list-unit-files

 

 

4、常用日志的作用

 

日志文件	说明
/var/log/cron	记录了定时任务相关的日志。
/var/log/cups	记录打印信息的日志
/var/log/dmesg	记录了系统在开机时内核自检的信息。也可以使用dmesg命令直接查看内核自检信息
/var/log/btmp	记录错误登录的日志。这个文件是二进制文件，不能直接vi查看，而要使用lastb命令查看，命令如下： [root@localhost log]# lastb rot      ssh:notty    192.168.1.101    Thu May 10 19:21 - 19:21  (00:00) Administ ssh:notty    192.168.1.101    Sun May  6 16:13 - 16:13  (00:00) Administ ssh:notty    192.168.1.101    Sat May  5 21:38 - 21:38  (00:00)   btmp begins Sat May  5 21:38:05 2018 [root@localhost log]#
/var/log/lastlog	记录系统中所有用户最后一次的登录时间的日志。这个文件是二进制文件，不能直接vi查看，而要使用lastlog命令查看。
/var/log/maillog	记录了邮件信息
/var/log/message	记录系统重要信息的日志，这个日志文件 中会记录Linux系统的绝大鑫数重要信息，如果系统出现问题，首先要检查的就应该是这个日志文件。
/var/log/secure	记录验证和授权方面的信息，只有涉及帐户和密码的程序都会记录。例如系统的登录，ssh的登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中。
/var/log/wtmp	永久记录所有用户的登录、注销信息、同时记录系统的启动，重启，关机事件。同样这个文件也是一个二进制文件，不能直接vi命令查看，而需要使用last命令查看。
/var/run/utmp	记录当前已经登录的用户信息。这个会随着用户的登录和注销而不断变化，只记录前登录用户的信息。这个文件也不能直接用vi命令查看，而要使用w,who,users等命令来查询

 

 

除了系统的默认日志之外，采用RPM方式安装的系统服务也会默认把日志记录在/var/log目录中，源码包安装的服务日志是在源码包指定目录中。不过这些日志不是由rsyslogd服务来记录和管理的，而是各个服务使用自己的日志管理文档来记录自身的日志。

 

 

常见的RPM包日志：

/var/log/httpd/`                 apache服务

/var/log/mail/                    邮件服务

/var/log/samba/                samba服务

/var/log/sssd/                    守护进程安全服务目录

 

 

 12.2.rsyslogd服务

 

 

 

1、日志文件格式

 

基本日志格式包含以下四列：

         事件产生的时间

         发生事件的服务器的主机名

         产生事件的服务名或程序名

         事件的具体信息

 

 

如下所示为secure日志格式：

[root@localhost log]# head secure

May  6 22:25:43 localhost sshd[1556]: Accepted password for root from 192.168.1.101 port 60068 ssh2

May  6 22:25:43 localhost sshd[1556]: pam_unix(sshd:session): session opened for user root by (uid=0)

May  6 23:07:52 localhost groupadd[1714]: group added to /etc/group: name=apache, GID=48

May  6 23:07:52 localhost groupadd[1714]: group added to /etc/gshadow: name=apache

May  6 23:07:52 localhost groupadd[1714]: new group: name=apache, GID=48

May  6 23:07:52 localhost useradd[1718]: new user: name=apache, UID=48, GID=48, home=/usr/share/httpd, shell=/sbin/nologin

May  6 23:08:50 localhost polkitd[643]: Registered Authentication Agent for unix-process:1753:2313559 (system bus name :1.38 [/usr/bin/pktty

 

 

 

2、/etc/rsyslog.conf配置文件

 

配置格式：

服务名称[链接符号]日志等级       日志记录位置

 

如下所示：

authpriv.*         /var/log/secure

认证相关服务.所有日志等级        记录在/var/log/secure日志文件中

 

 

这些名称只在rsyslogd日志中有效

支持的服务名称：

服务名称	说明
auth	安全和认证相关消息， 不推荐使用authpriv替代
authpriv	安全和认证相关消息，私有的
cron	系统定时任务crontab和at产生的日志
deamon	和各个守护进程相关的日志
ftp	ftp守护进程产生的日志
kern	内核产生的日志，不是用户进程产生的
local0-local7	为本地使用预留的服务
lpr	打印产生的日志
mail	邮件收日志
news	与新闻服务器相关的日志
syslog	有syslogd服务产生的日志信息，虽然服务名称已经改为rsyslogd，但是很多配置都还是沿用了syslogd的，这里并没有修改服务名
user	用户等级类别的日志信息
uucp	uucp子系统的日志信息，uucp是早期linux系统进行数据传递的协议，后来也常用在新闻组服务中。

 

 

rsyslogd支持的连接符号：

连接符号	说明
*	代表所有日志等级，例如：authpriv.*，代表authpriv认证信息服务产生的日志，所有日志等级都记录
.	代表只要比后面的等级高的，包含该等级的日志都记录下来。例如：cron.info代表cron服务产生的日志，只有日志级别大于等于info级别，就会记录下来。
.=	代表只记录所需等的日志，其他等级的都不记录。例如：*.=emerg，代表任何日志服务产生的日志，只有等级是emerg等级就记录。这种用法及少见，了解就好
.!	代表不等于，也就是除了该等级的日志外，其他等级日志都记录。

 

 

 

syslogd支持日志等级：

日志等级	说明
debug	一般的调试信息
info	基本的通知信息
notice	普通信息，但是有一定的重要性
warning	警告信息，但是还不会影响到服务或系统运行
err	错误信息，一般达到err等级的信息，已经影响到服务或系统的运行了
crit	临界状况信息，比err等级还要严重
alert	警告状态信息，比crit还要严重，必须立即采取行动
emerg	疼痛待级信息，系统已经无法使用了

 

 

 

syslogd支持的日志记录位置：

类别	举例
日志文件的绝对路径	/var/log/secure
系统设备文件	/dev/lp0
转发给远程主机	@192.168.0.210:514
用户名	root
忽略或丢弃日志	~

 

 12.3.日志轮替

 

 

1、日志文件的命名规则

 

如果配置文件中拥有dateext参数，那么日志会用日期来作为日志文件的后缀，例如secure-20180510，这样的话日志文件名不会重叠，所以也就不需要日志文件的改名，只需要保存指定的日志个数，删除多余的日志文件即可。

 

 

如果配置文件中没有dateext参数，那么日志文件就需要进行改名了。当第1次进行日志轮替时，当前的secure日志会自动改名为secure.1，然后新建secure日志，用来保存新的日志，当第2次进行日志轮替时，secure.1会自动更新为secure.2，当前的secure日志会自动改为为secure.1，然后新建secure日志，用来保存新的日志，以此类推。

 

 

2、logrotate配置文件

 

参数	参数说明
daily	日志的轮替周期是每天
weekly	日志的轮替周期是每周
monthly	日志的轮替周期是每月
rotate 数字	保留的日志文件的个数，0指没有备份
compress	日志轮替时，旧的日志进行压缩
create mode owner group	建立新的日志，同时指定新日志的权限与所有者和所属组。 如：create 0600 route utmp
mail address	当日志轮替时，输出内容通过邮件发送到指定的邮件地址 如：mail [e-mail]
missingok	如果日志文件不存在，则忽略该日志的警告信息
notifyempty	如果日志为空文件，则不进行日志轮替
minsize 大小	日志轮替的最小值，也就是日志一定要达到这个最小值才会轮替，否则就算时间达到也不轮替
size 大小	日志只有大于指定大小才进行日志轮替，而不是按照时间轮替，如：size 100K
dateext	使用日期作为日志轮替文件的后缀。如：secure-20180510

 

 

 

上面半部分为全局配置，下面一部分是/var/log/wtmp和/var/log/btmp特有的配置：

 

[root@localhost etc]# cat /etc/logrotate.conf

# see "man logrotate" for details

# rotate log files weekly

weekly

 

# keep 4 weeks worth of backlogs

rotate 4

 

# create new (empty) log files after rotating old ones

create

 

# use date as a suffix of the rotated file

dateext

 

# uncomment this if you want your log files compressed

#compress

 

# RPM packages drop log rotation information into this directory

include /etc/logrotate.d

 

# no packages own wtmp and btmp -- we'll rotate them here

/var/log/wtmp {

    monthly

    create 0664 root utmp

        minsize 1M

    rotate 1

}

 

/var/log/btmp {

    missingok

    monthly

    create 0600 root utmp

    rotate 1

}

 

# system-specific logs may be also be configured here.

[root@localhost etc]#

 

 

3、把apache日志加入轮替

 

RPM包安装会自动配置。

源码包安装的服务，需要手动加入配置：

vi /etc/logrotate.conf

/var/usr/local/apache/logs/access_log{

    daily

    create

    rotate 30

}

 

 

 

4、logrotate命令

 

语法：

logrotate [选项] 配置文件名

 

如果此命令没有选项，则会按照配置文件中的条件进行日志轮替。

-v：显示日志轮替过程。加了-v选项，会显示日志的轮替的过程。

-f：强制进行日志轮替。不管日志轮替的条件是否已经符合，强制配置文件中所有的日志进行轮替

 

 

 

12.4.启动引导程序-Grub加密与字符界面分辨率调整

 

 

 

 

在启动的时候，按下任意键盘，就可以进行Grub的选择界面

 

然后按下e键，就可以编辑Grub配置文件了，但是每个人都可以编辑不安全。所要设置grub密码。

 

 

1、grub加密

 

命令：

grub-md5-crypt

生成加密密码串

 

貌似centos7中没有这个命令了

 

设置了grub加密后，以后要编辑grub配置文件，需要使用grub密码才能编辑了。

 

 

centos7的方法已经不是上面的方式了，而且密码的加密更安全了：

 

设置grub密码保护：

查看grub登录用户名cat /etc/grub.d/01_users,可以看到用户名为root。通过grub2-setpasswords设置grub密码，确认密码 cat /boot/grub2/user.cfg。重启后进入grub需要用户名和密码

 

 

[root@localhost ~]# cat /etc/grub.d/01_users

#!/bin/sh -e

cat << EOF

if [ -f \${prefix}/user.cfg ]; then

  source \${prefix}/user.cfg

  if [ -n "\${GRUB2_PASSWORD}" ]; then

    set superusers="root"

    export superusers

    password_pbkdf2 root \${GRUB2_PASSWORD}

  fi

fi

EOF

[root@localhost ~]# grub2-setpasswords

-bash: grub2-setpasswords: command not found

[root@localhost ~]# grub2-setpassword

Enter password:

Confirm password:

[root@localhost ~]# cat /boot/grub2/user.cfg

GRUB2_PASSWORD=grub.pbkdf2.sha512.10000.44A14BB0A2FBA9511FE80754FB317AF04518F0FCB6C3D25454EB186AC7D84175C94595F5E8CC1AE127A5328CDCC5553DBB5C5C70928C0EAFDE675DC5B444D926.D45D10DF6E988AD8839EE2BAA746F5A962CFFC65C47FBF418F1A8211D890081E6619A9853586645A2E8CC69B50F7EF577308F28882574C31CA425849E78D2144

[root@localhost ~]#

 

 

重启后，在引导界面，输入e进行grub配置编辑界面前，需要输入用户名和密码，root/xx密码

 

 

 

 

2、字符界面分辨率调整

 

查询内核是否支持分辩率修改

 

[root@localhost boot]# cat config-3.10.0-693.el7.x86_64 |grep CONFIG_FRAMEBUFFER_CONSOLE

CONFIG_FRAMEBUFFER_CONSOLE=y

 

 

调整的时候，填写如下表格中的值即可，例如32位的1024x768，是792

 

填写哪里呢？有些版本不支持这个参数，有的支持是16进制的值，需要换算。

  

 

貌似centos7已经不是这样配置的了，网上找的参考：

 

正确解决方法

刚装的CentOS7.2 1511系统，正常启动，一般都是这样的，分辨率640x480

 进入系统后，更改分辨率，设置如下

[root@min-base ~]# vim /etc/default/grub

将GRUB_TERMINAL_OUTPUT值由默认的"console"改为"gfxterm"，并添加GRUB_GFXMODE

GRUB_TIMEOUT=2

GRUB_DISTRIBUTOR="$(sed 's, release .*$,,g' /etc/system-release)"

GRUB_DEFAULT=saved

GRUB_DISABLE_SUBMENU=true

GRUB_TERMINAL_OUTPUT="gfxterm"

GRUB_CMDLINE_LINUX="crashkernel=auto rd.lvm.lv=centos/root rd.lvm.lv=centos/swap rhgb quiet"

GRUB_DISABLE_RECOVERY="true"

GRUB_GFXMODE=1440x900,1024x768,640x480

 

 这里官方手册写得很清楚，ubuntu自带grub2默认是gfxterm, 而centos默认是console，所以只设置GRUB_GFXMODE不生效！

更新grub.cfg

[root@min-base ~]# grub2-mkconfig -o /boot/grub2/grub.cfg 

Generating grub configuration file ...

Found linux image: /boot/vmlinuz-3.10.0-327.el7.x86_64

Found initrd image: /boot/initramfs-3.10.0-327.el7.x86_64.img

Found linux image: /boot/vmlinuz-0-rescue-474822243f59425e80af30ff5e2b8cd4

Found initrd image: /boot/initramfs-0-rescue-474822243f59425e80af30ff5e2b8cd4.img

done

[root@min-base ~]#

 

新版grub2已经不再使用update-grub这个命令了，改用grub2-mkconfig

 

确定后重启就可以看到效果了，窗口大小是有变化的。在centos7.4上验证此方法有效。貌似只是引导界面变了一下，和Windows的修改分辨率咋感觉不是一个概念。。。