1，日志服务
    在现在的Linux系统中的日志服务由rsyslogd取代了圆心的syslogd服务。rsyslogd日志服务更加先进，功能更多。但是不论是该服务的使用，还是日志文件的格式其实都是和syslogd服务相兼容的，所以学习起来基本和syslogd一致。

    rsyslogd的新特点：
    基于TCP网络协议传输日志信息
    更安全的网络传输方式
    有日志消息的及时分析框架
    后台数据库
    配置文件中可以写简单的逻辑判断
    与syslogd配置文件相兼容

    确定服务启动
    ps aux | grep rsyslogd
    查看服务是否启动

    image.png

    通过进程是否存在来判断是否启动
    chkconfig —list | grep rsyslog
    查看服务是否自启动
    可能有些Linux系统无法使用这条命令，我们可以使用systemctl list-unit-files来进行判断。当前状态是开机自启的。

    image.png
    2，常见的日志的作用

    文件名 作用
    /var/log/cron 记录了系统定时任务相关的日志
    /var/log/cups/ 记录了打印信息的日志
    /var/log/dmesg 记录了系统在开机时内核自检的信息。也可以使用dmesg命令直接查看内核自检信息
    /var/log/btmp 记录错误登录的日志。这个文件是二进制文件，不能直接使用vi查看，而要使用lastb查看，命令：lastb
    /var/log/lastlog 记录系统中所有用户最后依次的登录时间的日志。这个文件也是二进制文件，不能直接vi，而要使用lastlog命令查看
    /var/log/mailog 记录邮件信息。
    /var/log/message 记录系统重要信息的日志。这个日志文件中会记录Linux系统的绝大多数重要信息，如果系统出现问题时，首先要检查的就应该是这个日志文件。
    /var/log/secure 记录验证和授权方面的信息，只要涉及账户和密码的程序都会记录。比如说系统的登录，ssh的登录，su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中。
    /var/log/wtmp 永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。同样这个文件也是一个二进制文件，不能直接vi，而需要使用last命令来查看。
    /var/run/utmp 记录当前已经登录的用户的信息。这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息。同样这个文件不能直接vi，而要使用w,who，users等命令来查询。
    /var/log/httpd/ RPM包安装的apache服务的默认日志目录
    /var/log/mail/ RPM包安装的邮件服务的额外日志目录
    /var/log/samba/ RPM包安装的samba服务的日志目录
    /var/log/sssd/ 守护进程安全服务目录