Linux日志系统.pdf

Linux日志系统是Linux操作系统的重要组成部分，负责记录系统运行的各种信息，包括系统事件、硬件状态、用户活动和安全日志等。这些日志文件被存放在`/var/log`目录下，并由多个不同的程序和服务使用和管理。 1. `wtmp`和`utmp`是记录用户登录信息的日志文件。`wtmp`文件记录了所有的用户登录和退出历史，而`utmp`则记录当前登录的用户信息。这两个文件通常由`who`、`w`、`last`等命令读取，用于展示当前登录用户和过去的登录历史。 2. `last`命令能够显示`wtmp`文件中的内容，包括用户登录和退出的时间以及终端信息。与`last`类似，`lastlog`命令可以查看每个用户最近的登录信息。 3. `ac`命令用于报告用户连接时间的统计信息。它可以显示总的连接时间，或者按照日期进行分类。 4. `accton`命令用于启动或停止进程记账。记账功能用于追踪系统上每个进程的CPU使用情况。 5. `syslog`服务是Linux系统中收集和记录日志信息的主要机制。它可以根据不同的日志消息类型和优先级，将消息发送到指定的文件中。`syslog`使用`/etc/syslog.conf`配置文件来定义如何处理不同类型的日志消息。 6. `/var/log`目录下有多个子目录和文件用于存储特定的日志信息。例如： - `messages`文件记录了系统级别的消息，包括启动信息和常规错误消息。 - `secure`文件记录了与安全性相关的事件，比如用户的登录和认证消息。 - `cron`文件记录了`cron`计划任务的日志信息。 - `btmp`文件记录登录失败的日志。 7. 在`/etc/syslog.conf`文件中，可以通过设置不同的规则来指定哪些服务和应用发送到特定的日志文件。例如，规则`*.info;mail.none;authpriv.none;cron.none`表示所有的`.info`消息除了邮件和`authpriv`认证服务的日志外，都将被记录到`/var/log/messages`中。 8. 系统管理员可以通过查看这些日志文件来监控系统的运行状况，进行故障排查，以及增强系统的安全性。 在实际操作中，管理员可能会使用如下命令来查看和管理日志： - 使用`tail`或`cat`命令来查看日志文件内容。 - 使用`grep`命令来搜索日志文件中的特定内容。 - 使用`logger`命令来向`syslog`发送自定义的日志消息。 - 使用`/etc/init.d/syslog`脚本来重启`syslog`服务。 - 使用`/etc/sysconfig/syslog`配置文件来设置`syslog`服务的参数（根据发行版不同而不同）。 对Linux系统来说，日志系统是不可或缺的，因为它是系统维护和故障诊断的关键工具。通过分析这些日志文件，管理员可以了解系统曾经发生了什么，对系统进行调优，并确保系统的安全稳定运行。