日志管理-2

*
1、日志服务的配置文件
[loring ~]# vim /etc/rsyslog.conf
# Provides UDP syslog reception //提供接收远程日志的服务的
#$ModLoad imudp
#$UDPServerRun 514

#### GLOBAL DIRECTIVES #### //全局配置部分
# Include all config files in /etc/rsyslog.d/
$IncludeConfig /etc/rsyslog.d/.conf //表示包含/etc/rsyslog.d/目录下所有以.conf结尾的配置文件

.info;mail.none;authpriv.none;cron.none /var/log/messages
authpriv. /var/log/secure
mail. -/var/log/maillog
cron. /var/log/cron
.emerg
uucp,news.crit /var/log/spooler
local7. /var/log/boot.log
服务或者设备.日志的级别 日志记录到哪个文件

local0~local7：自定义的服务名

2、authpriv.
服务或者设备.日志的级别
1）服务名称
authpriv(auth)：用户授权相关的，认证等 ssh、login、su等
cron：和计划任务相关的服务
mail：和邮件相关的
news：新闻相关的 uucp
kern：和内核相关的
lpr：打印机相关的
syslog：和rsyslogd进程相关的
local0~local7：自定义服务名称
2）日志的级别：级别越高、日志越少
（1）none：不记录日志
（2）debug：调试信息
（3）info：一般的通知信息
（4）notice：提醒信息，比info稍微重要点
（5）warning（warn）：警告信息，可能有问题
（6）err(error)：错误信息
（7）critical(crit)：比较严重的错误
（8）alert：警报信息，需要立即行动
（9）emerg(panic)：紧急(恐慌)，系统可能已经不可用了
3）服务名称.日志等级的表示
. —— mail.warning 表示记录mail服务，warning及其以上级别的日志
.= —— mail.=warning 表示记录mail服务warning级别日志
.! —— mail.!warning 表示除了warning级别以外的，其他级别的所有日志都记录
.none —— 表示不记录
—— 表示所有
. —— 表示所有服务
. —— 表示所有日志级别
. —— 所有服务的所有级别的日志

小实验
[loring ~]# vim /etc/rsyslog.conf 在第46行添加如下行：
authpriv. /usr/local/secure //自己规定一个日志文件
[loring ~]# /etc/init.d/rsyslog restart
标签一：
[loring ~]# tail -0f /usr/local/secure

标签二：
[loring ~]# su - test
[test@server150 ~]$ su - root
Password:
su: incorrect password
看标签一的日志变化。
[loring ~]# tail -0f /usr/local/secure
Aug 3 12:41:47 server150 su: pam_unix(su-l:session): session closed for user test
Aug 3 12:41:51 server150 su: pam_unix(su-l:session): session opened for user test by root(uid=0)
Aug 3 12:41:55 server150 su: pam_unix(su-l:auth): authentication failure; logname=root uid=500 euid=0 tty=pts/5 ruser=test rhost= user=root

注意：
1）书写错误
2）selinux必须要关闭的或者是permissive模式，否则无法自动生成你配置的日志文件

为了防止别人修改我的日志，如何做？
[loring ~]# chattr +a /var/log/secure

远程日志 ：可以做日志的备份，也可以做日志的集中管理
集中管理日志的软件：splunk ELK
环境：
172.16.12.250 远程服务器
172.16.254.251 本地服务器
1、本地配置
[loring ~]# vim /etc/rsyslog.conf
. @172.16.12.250 // 此处IP为远程服务器IP
2、远程服务器配置
[loring ~]# vim /etc/rsyslog.conf
# Provides UDP syslog reception 开启接收远程日志的功能
$ModLoad imudp
$UDPServerRun 514
3、本地服务器和远程服务器分别重启rsyslog服务
[loring ~]# /etc/init.d/rsyslog restart //254.251
Shutting down system logger: [ OK ]
Starting system logger: [ OK ]
[root@srv12 ~]# /etc/init.d/rsyslog restart //12.250
Shutting down system logger: [ OK ]
Starting system logger: [ OK ]
4、验证
在本地随意切换几次路径
在远程动态监控日志

注意：
1）服务别忘记重启
2）本地selinux关闭
3）远程主机的防火墙关闭
4）尽量不要互相传日志

日志的轮替、日志的轮滚
为什么要轮滚？
1）防止日志文件过大
2）定期清除日志

日志轮滚的配置文件
# vim /etc/logrotate.conf
# grep -v ^# /etc/logrotate.conf | grep -v ^$
weekly //轮滚的周期，一周一轮滚，默认每一周执行一次rotate轮转工作
rotate 4 //保留多少个日志文件(轮转几次).默认保留四个.就是指定日志文件删除之前轮转的次数，0 指没有备份
create //旧日志轮滚后是否创建新的空白日志
dateext //就是切割后的日志文件以当前日期为格式结尾，如xxx.log-20131216这样,如果注释掉,切割出来是按数字递增,即 xxx.log-1这种格式
compress //是否通过gzip压缩转储以后的日志文件，如xxx.log-20131216.gz ；如果不需要压缩，注释掉就行
include /etc/logrotate.d //包含该路径下的所有配置文件
/var/log/wtmp { //仅针对 /var/log/wtmp 所设定的参数
monthly //轮滚周期，一个月
create 0664 root utmp //创建新的日志文件 权限664 所有者root 所属组utmp
minsize 1M //文件大小超过 1M 后才会切割
rotate 1
}
/var/log/btmp {
missingok //丢了也没关系
monthly
create 0600 root utmp
rotate 1
}
其他重要参数说明
————————————————————————————————————————————————————-
compress 通过gzip 压缩转储以后的日志
nocompress 不做gzip压缩处理
copytruncate 用于还在打开中的日志文件，把当前日志备份并截断；是先拷贝再清空的方式，拷贝和清空之间有一个时间差，可能会丢失部分日志数据。
nocopytruncate 备份日志文件不过不截断
create mode owner group 轮转时指定创建新文件的属性，如create 0777 nobody nobody
nocreate 不建立新的日志文件
delaycompress 和compress 一起使用时，转储的日志文件到下一次转储时才压缩
nodelaycompress 覆盖 delaycompress 选项，转储同时压缩。
missingok 如果日志丢失，不报错继续滚动下一个日志
errors address 转储时的错误信息发送到指定的Email 地址
ifempty 即使日志文件为空文件也做轮转，这个是logrotate的缺省选项。
notifempty 当日志文件为空时，不进行轮转
mail address 把转储的日志文件发送到指定的E-mail 地址
nomail 转储时不发送日志文件
olddir directory 转储后的日志文件放入指定的目录，必须和当前日志文件在同一个文件系统
noolddir 转储后的日志文件和当前日志文件放在同一个目录下
sharedscripts 运行postrotate脚本，作用是在所有日志都轮转后统一执行一次脚本。如果没有配置这个，那么每个日志轮转后都会执行一次脚本
prerotate 在logrotate转储之前需要执行的指令，例如修改文件的属性等动作；必须独立成行
postrotate 在logrotate转储之后需要执行的指令，例如重新启动 (kill -HUP) 某个服务！必须独立成行
daily 指定转储周期为每天
weekly 指定转储周期为每周
monthly 指定转储周期为每月
rotate count 指定日志文件删除之前转储的次数，0 指没有备份，5 指保留5 个备份
dateext 使用当期日期作为命名格式
dateformat .%s 配合dateext使用，紧跟在下一行出现，定义文件切割后的文件名，必须配合dateext使用，只支持 %Y %m %d %s 这四个参数
size(或minsize) log-size 当日志文件到达指定的大小时才转储，log-size能指定bytes(缺省)及KB (sizek)或MB(sizem).
当日志文件 >= log-size 的时候就转储。 以下为合法格式：
size = 5 或 size 5 （>= 5 个字节就转储）
size = 100k 或 size 100k
size = 100M 或 size 100M


查看某个服务的日志是否轮滚
[loring logrotate.d]# cat /etc/logrotate.d/syslog
/var/log/cron
/var/log/maillog
/var/log/messages
/var/log/secure
/var/log/spooler
{
sharedscripts //与endscript中间夹的是需要执行的操作
postrotate //轮滚后执行的命令
/bin/kill -HUP cat /var/run/syslogd.pid 2> /dev/null 2> /dev/null || true //重新加载配置
endscript
}


小实验：
1、修改配置文件，添加一行自己定义的内容，重启服务
[loring log]# vim /etc/rsyslog.conf
authpriv. /usr/local/secure
[loring log]# /etc/init.d/rsyslog restart
2、自己编写轮滚配置文件
[loring log]# vim /etc/logrotate.d/secure
/usr/local/secure {
missingok
notifempty
daily
create
rotate 4
compress
}
3、手动轮滚日志文件
[loring log]# logrotate -vf /etc/logrotate.d/secure
[loring log]# cd /usr/local
[loring local]# ls secure
secure secure.1.gz

实验续
[loring log]# vim /etc/logrotate.d/ secure
/usr/local/secure {
sharedscripts
prerotate
/usr/bin/chattr -a /usr/local/secure 只能追加，不能vi编辑
endscript
missingok
notifempty
daily
create
rotate 4
compress
sharedscripts
postrotate
/bin/kill -HUP cat /var/run/syslogd.pid 2> /dev/null 2> /dev/null //重读配置
/usr/bin/chattr +a /usr/local/secure
endscript
}
[loring local]# /etc/init.d/rsyslog restart
[root@server1 local]# chattr +a /usr/local/secure
[loring local]# logrotate -vf /etc/logrotate.d/secure
[loring local]# lsattr secure
——-a———-e- secure

/dev/null：空，不管你向它扔什么，都是空
2> ：标准错误输出重定向
[root@server1 local]# ls secure
secure
[root@server1 local]# ls asdf
ls: cannot access asdf: No such file or directory
[root@server1 local]# ls asdf > /tmp/asdf
ls: cannot access asdf: No such file or directory
[root@server1 local]# ls asdf 2> /tmp/asdf
[root@server1 local]# cat /tmp/asdf
ls: cannot access asdf: No such file or directory
2>> ：标准错误输出追加重定向