RHCE_U4 分析和存储日志

所需积分/C币:10 2016-12-01 10:02:19 937KB PDF
收藏 收藏
举报

log管理,分析。rsyslog简单配置
专注:网络运维RHEI 带你入门从中笑 notice #不影响正常功能,需要注意的消息 warning/warn#可能影响系统功能,需要提醒用户的重要事件 crr/crror #错误信息 比较严重的(蓝色警报) alert #必须马上处理的(橙色警报) emerg/panic #会导致系统不可用的(红色警报)恐慌 水 #表示所有的日志级别 none #跟*相反,表示啥也没有 ③日志记录的位置 action(动作 系统上的绝对路径#普通文件如:/ar/og/xx #管道通过管道送给其他的命令处理 终端 终端如:/ dcv/console物理终端 aHOST #远程主机如:@192.168.0.177 用户 #系统用户如:root #登录到系统上的所有用户,一股 emerg级别的日志是这样定义的 ④日志文件格式举例: mail. info/ar/log/ mail.log#表示将mai相关的级别为info及 info以上级别的信息记录到/ar/ og/mail.log文件中 auth. -info a172.16.1.132 表示将auth相关的,基木为info的信息记录到172.16.1.132主机上去 #前提是172.16.1.132要能接收其他主机发来的日志信息 user. error #表示记录user相关的,不包括eror级别的信息 user. error 与 usererror相反 专业博客:blog. sina. com. cn/yic118 5lcto我的资料下较中心htt:down.5 s1 cto. com285229 专注:网络运维RHEI 带你入门从中笑 info #表示记录所有的日志信息的info级别 mai米 #表示记录ma相关的所有级别的信息 水水 #所有的信息.所有的级别 cron in fo mail info 多个日志米源可以用";"隔开 cron mail.info #与 cron. info; mail. info是一个意思 mail. * maill=info #表示记录ma相关的所有级别的信息,但是不包括info纵别的 二、远程日志服务: 1.用udp传送log: root@deskt。p24~]#vim!etc/xsys1 og. Con服务器配置UDP Provides UDP syslog reception SModLoad imudpso SUDPServerRun 514 [rootedesktop24 ] service rsyslog restart [ root@desktop24~]# netstat- tulp grep514侦听端口 dp 0 00.0.0.0:514 0.0.0.0:★ 3922/syslog udr 0 0:::514 : 3922/syslog [r。 ot@desktop24~]# ssh desktop25客户端配置 rootedesktop25 's password: Lastlogin:ThuMar2218:24:582012fromdesktop24.example.com [root@desktop25 "] vim /etc/rsyslog. conf 0192.168.0.24UDP前面只加一个@ root@desktop25~]# service rsyslog restart发个1og消息测试 [root@desktop25 * ] logger -i -t testlog "this is a logtest" [root @desktop25 M ]# exit logout Connection to desktop25 closed root@desktop24 ] tail -n 3/var/log/messages Mar 22 18: 36: 10 desktop25 kernel: imklog 4.6.2, log source Mar 22 18: 36: 10 desktop25 rsyslogd: [origin software=rsyslo nx-pid=2339"x-info="http://www.rsyslog.com"](re)start Mar 22 18: 36: 18 desktop25 testlog [2344]: this is a logtest 接收成功! 专业博客:blog. sina. com. cn/yic118 4 5lcto我的资料下较中心htt:down.5 s1 cto. com285229 专注:网络运维RHEI 带你入门从中笑 2.用tcp传送log: [root@desktop24 ] vim /etc/rsyslog.conf 服务器配置TCP Provides TCP syslog reception SModLoad imtcpso SInputTcP ServerRun 514 [root@desktop24 ] service rsyslog restart [ root@desktop24~]# netstat-tunp1|gxep514侦听TCP端口 tcp 00.0.0.0:514 0.0.0.0:★ 4360/syslog tcp 0:::514 4360/syslog root@desktop24~]# ssh desktop25客户端配置 root@desktop25's password: Lastlogin:ThuMar2218:24:582012fromdesktop24.example.com [root@desktop25 -] vim /etc/rsyslog.conf ★ e192.168.0.24TCP前面只加2个@@ var/log/messages 系统标准错误日志信息;非內核产生引导信息;各子系统产 生的信息 rhel5巾 syslog: scrvice syslog start它会启动2个进程 klogd 内核日志进程。 三、日志轮循(轮转): logrotate,日志滚动,日志切割 ①轮转日志,以避免日志占满包含/var/1og/的文件系统; ②轮转日志时,使用扩展名对其进行重命名,扩展名中指示轮转日期; ③轮转原日志之后,分创建新日志文件,并通知对它执行写操作的服务; ④轮转若下次之后(通常在4周之后),丢弃原日志文件以节省磁盘空间; ③cron作业每天运行一次 logrotate程序,查看是否有仁何日志需要轮转; ⑥大多数日志每周轮转一次,但是 logrotate轮转文件的速度时快时慢 或在文件达到特定大小时进行轮转。 主要功能就是将旧的日志文件移动成旧的文件,并且重新建一个空文件米 专业博客:blog. sina. com. cn/yic118 5lcto我的资料下较中心htt:down.5 s1 cto. com285229 专注:网络运维RHEI 带你入门从中笑 记录。 root@desktop24~]#vim/etc/1 orotate.conf轮循的配置文件 root@desktop24-]#vim!etc/ cron.daily/1 rotate轮循的计划任务 [rootedesktop24 "]# ssh instructor rootginstructor 's password: LastloginFriMar2314:14:102012fromdesktop24.example.com [root@instructor *]# Is /var/log/messages* /var/log/messages /var/log/messages-20110612 /var/log/messages-20110531 /var/log/messages-20120321 /var/log/messages-20110605 自已创建一个日志轮循: [root@desktop24 *] vim /etc/rsyslog.conf ,info/var/1og/ admin.1og自创一个log [root@desktop24 * ] vim /etc/logrotate. d/admin /var/log/admin log 创建一个轮循 monthl y size=loM rotate 5 [root@desktop24 * service rsyslog restart oot@desktop24~]#ta1/var/1og/acmn.109自动创建日志文件 [root@desktop24 ] 11 /var/log/messages --.1 root root 413081 Mar 23 15: 43/var/log/messages [root@desktop24 - ] 11 /var/log/admin log w l root root 218 Mar 23 15: 43/var/log/admin log root@desktop24~# vim(/var/1og/ admin.1 og vim之后,轮循将被锁定 oot @desktop24~]# chattr+a/var/1og/ admin.1og增强属性 [root@desktop24 ] vim /var/log/admin log /var/log/admin log" 现在就无法vim,也无法重命名 /var/log/admin log" E212: Can't open file for writing Press ENTER or type command to continue [root@desktop24 log]# mv admin log ad log mv:cannot move admin log to ad log: Operation not permitted 发现一个问题:突然有一天,vim/var/log/ admin.log,被锁住了,不轮循 了。 chattr+a/var/log/ admin.log表示只读的,不能vim不能重命名 I satyr/var/log/ admin.log查看文件属性。 chattr-a附加 chattr+i不可改变 专业博客:blog. sina. com. cn/yic118 5lcto我的资料下较中心htt:down.5 s1 cto. com285229 专注:网络运维RHEI 带你入门从中笑 四、定位和分析日志汇总报告: logwatch 安装 logwatch。它能自动分析标准日志文件,并向root发送汇总电子邮件。 检査系统状态的一种使捷方法是阅读此汇总报告。 ① logwatch作为每日cron作业运行,以生成相关日志信息的报告。默认 情况下,此报告通过电子邮件发送到本地root。如果要手动生成 logwatch电了 邮件,只需运行1 ogwatch [root@desktop24 *] logwatch [rootedesktop24 ] mail Heirloom Mail version 12.4 7/29/08. Type for help /var/spool/ mail/root":2 messages 2new >N 1 logwatch@desktop24 e Fri Mar 23 07: 50 43/1512 " Logwatch for desktop2" n 2 logwatch@desktop24e Fri Mar 23 16: 24 43/1512" Logwatch for desktop2 2 ②2/etc/ logwatch/conf/ logwatch.conf是一个空文件,包含本地1 ogwatch 设置。1 ogwatch的系统范围默认设置保存在: /usr/share/logwatch/default. conf/logwatch. conf fi ③通常是编辑/octc中的文件,而不是/usr/ sharo中的默认文件。 Mailto元 素获取要将 logwatch报告发送的电了邮件地址:默认情况下,1 ogwatch使用 root@logwahtch。如果想要student@server34.example.com接收这些邮件,则 向/etc/ logwatch/conf/ logwatch.conf文件添加以下行: [root edesktop24 ] vim /etc/logwatch/conf/logwatch. conf :x/usr/ share/1 ogwatch/ default.conf/1 swatch.conf读模板 MailTo student@desktop24.examp1e.com发给student mai1e=" sendmail1一七 [r。。t@ desktop24~]#1。 swatch r。。t@ deskt。p24~]#su- student [student@desktop24 -]s mail Heirloom Mail version 12.4 7/29/08. Type /var/spool/mail/student": 1 message 1new > N 1 logwatchadesktop24e Fri Mar 23 16: 33 1 五、清理垃圾 tmpwatch作业: [root@desktop24 ] vim /etc/cron daily/tmpwatch 专业博客:blog. sina. com. cn/yic118 7-5lcto我的资料下教中心htt:down.lco,om2852229

...展开详情
立即下载 低至0.43元/次 身份认证VIP会员低至7折
    抢沙发
    一个资源只可评论一次,评论内容不能少于5个字
    • 至尊王者

      成功上传501个资源即可获取
    关注 私信 TA的资源
    上传资源赚积分,得勋章
    最新推荐