【Linux】日志分析与管理

作为一个运维，如果不会看日志，就好比是冬天刚刚用热水泡完了脚，接着就立马让人把水喝掉。

目录

一、Inode介绍

1.1 什么是inode

1.2 inode表内容

1.3 查看inode号的方式

二、日志分析

 2.1 日志的用途

2.2 日志的分类

2.3 日志级别

2.4 关于用户登陆的日志

三、日志管理

3.1 日志的配置文件

3.2 一些常见用户日志

 3.3 rsyslog配置文件

3.4  如何为程序设置专属的独立日志

3.5 远程日志

3.6日志管理工具——journalctl

一、Inode介绍

1.1 什么是inode

• inode号通常用于Linux系统的存储文件和目录元数据信息的数据结构
• 每个文件和目录在文件系统中都有对应的inode，inode中存储了文件的各种元信息，如文件类型、所有者、权限、大小、创建时间、修改时间等信息，以及指向文件数据块的指针
• 删除文件时，若该文件有多个指向它的inode，则不会释放空间，需要删除所有指向它的inode才会释放存储空间。

1.2 inode表内容

每一个inode表记录对应的保存了以下信息：

• inode number 节点号

• 文件类型

• 权限

• UID

• GID

• 链接数（指向这个文件名路径名称个数）

• 该文件的大小和不同的时间戳

• 指向磁盘上文件的数据块指针

• 有关文件的其他数据

1.3 查看inode号的方式

ls -i 文件名

stat 文件名

df -i     #用于查看文件系统的inode号

 注意！！！

1. inode号在同一设备中是唯一的，但是在不同分区或不同硬盘中可以有相同inode号。
    
2. 达到inode数量上限时，文件系统将无法创建新的文件或目录，无论是否还有空间。

二、日志分析

 2.1 日志的用途

• 记录系统或程序在系统中的运行事件
• 通过查看日志可以帮助排查系统故障

2.2 日志的分类

• 系统日志：操作系统运行中发生的事件和故障
• 应用日志：某一程序运行中发生的事件和故障

2.3 日志级别

事件的关键程度：

2.4 关于用户登陆的日志

last 命令用于查询成功登录到系统的用户记录

lastb 命令用于查询登录失败的用户记录

lastlog用于查看用户最后一次登录情况

三、日志管理

3.1 日志的配置文件

Linux操作系统本身和大部分服务器程序的日志文件都默认放在目录/var/log/下

内核及系统日志由系统服务rsyslog统一管理，根据其主配置文件/etc/rsyslog.conf

3.2 一些常见用户日志

 3.3 rsyslog配置文件

/etc/rsyslog.conf 配置文件格式：由三部分组成

• MODULES：相关模块配置

• GLOBAL DIRECTIVES：全局配置

• RULES：日志记录相关的规则配置

RULES配置格式：

通式：

服务程序.记录的日志级别       日志文件的位置(绝对路径)

facility.priority; 
#分类     日志的级别

*: 所有级别
none：没有级别，即不记录
PRIORITY：指定级别（含）以上的所有级别
=PRIORITY：仅记录指定级别的日志信息

文件路径：通常在/var/log/，文件路径前的 ‘ - ’ 表示异步写入   

异步：记录一段日志后统一存入磁盘

同步：内存中磁盘上有一条就记录一条

用户：将日志事件通知给指定的用户，* 表示登录的所有用户
日志服务器：@host，把日志送往至指定的远程UDP日志服务器

                      @@host 将日志发送到远程TCP日志服务器
管道： | COMMAND，转发给其它命令处理

3.4  如何为程序设置专属的独立日志

举例：

ssh服务的日志默认放在/var/log/secure下，不利于我们观察，现在将其日志独立出来

操作目的：利用rsyslog软件给ssh生成独立的日志文件

1. 修改ssh的配置文件

2. 修改rsyslog的配置文件

系统提供了local0 ~ local6 供用户自定义使用

3. 重新启动rsyslog和ssh服务后，使用ssh服务，查看日志文件

配置成功！

3.5 远程日志

 操作用途：用于管理10-20台服务器

 操作目的：将日志传输到远程服务器

注意：本实验之前请关闭两台主机的防火墙

1. 配置两台主机的/etc/rsyslog.conf文件，打开tcp端口协议

第一台：

第二台：

2. 查看514端口是否打开

第一台：

第二台：

3. 配置/etc/rsyslog.conf文件，配置接收日志的主机IP

4. 测试

第一台：

第二台：

成功

3.6日志管理工具——journalctl

CentOS 7 以后版，利用Systemd 统一管理所有 Unit 的启动日志。

带来的好处就是，可以只用journalctl一个命令，查看所有日志（内核日志和应用日志）。

1. 配置文件

/etc/systemd/journald.conf

2. 命令格式

journalctl [OPTIONS...] [MATCHES...]

查看日志的重要命令：

#显示最近的提示信息
 journalctl -xe
 systemctl status   软件名

#日志默认分页输出，--no-pager 改为正常的标准输出
 journalctl --no-pager

#查看所有日志（默认情况下 ，只保存本次启动的日志）
 journalctl


#查看内核日志（不显示应用日志）
 journalctl -k


#查看系统本次启动的日志    实战案例！！！
 journalctl -b
 journalctl -b -0
#查看上一次启动的日志（需更改设置）
 journalctl -b -1


#查看指定时间的日志   -S=since    -U=unit
 journalctl --since="2023-10-30 18:10:30"
 journalctl --since "20 min ago"
 journalctl --since yesterday
 journalctl -S "2024-03-31 2:00" -U "2024-04-22 03:00"
 journalctl --since 09:00 --until "1 hour ago"


#实时滚动显示最新日志
 journalctl -f

3.7 logrotate——日志转储、分割

3.7.1 相关文件

• 计划任务：/etc/cron.daily/logrotate
• 配置文件：/etc/logrotate.conf
• 日志文件：/var/lib/logrotate/logrotate.status

配置文件/etc/logrotate.conf主要参数：

vim /etc/logrotate.conf

# see "man logrotate" for details
# rotate log files weekly
weekly 
#一周生成一个新的日志文件

# keep 4 weeks worth of backlogs
rotate 4
#只保留最近的4个文件


# use date as a suffix of the rotated file
dateext
# 添加一个日期后缀

程序还可以设置独立的配置文件在/etc/logrotate.d/下

3.7.2 配置参数及用例