什么是日志文件
日志文件不用说，就是记录linux系统在什么时候由哪个进程做了什么样的行为，发生了什么事件等。详细的日志文件信息可以帮助我们解决大部分的Linux问题。
常见的Linux日志文件名
- /var/log/cron : 与之前写过的crontab任务调度相关的日志文件。
- /var/log/dmesg : 记录系统在开机时候内核检测过程中所产生的各项信息。由于centos默认将开机时内核的硬件检测过程取消，因此额外将数据记录一份在这个文件中。
- /var/log/lastlog : 记录系统上面所有账号最近一次登录系统时的相关信息。
lastlog命令就是基于此。 - /var/log/maillog|* : 记录邮件的往来信息，主要是记录sendmail（SMTP协议提供者）与dovecot（POP3协议提供者）所产生的信息。
- /var/log/message : 相当重要的日志文件，几乎系统发生的错误信息都会记录在这个文件中。系统发生莫名的错误时，这个文件是一定要查阅的日志文件之一。
- /var/log/secure : 基本上，只要涉及账号密码的软件，登录信息都会存在这个文件中。
- /var/log/wtmp,/var/log/faillog ： 分别记录正确登录系统的账户信息（wtmp）和错误登录的账户信息（faillog）
- /var/log/httpd/*
/var/log/news/*
/var/log/samba/*:网络服务相关的日志文件。
【ps：不同的linux distributions中，通常日志的文件名不会相同，所以，具体仍需查阅主机上的日志文件设置数据。】
日志文件的产生方式：
- 软件开发商自行定义写入的日志文件与相关格式。
- Linux distribution提供的日志文件管理服务来统一管理。centos7使用rsyslogd来统一管理。
日志文件所需服务与程序
rsyslogd : 主要登录系统与网络等服务的信息。
klogd : 主要登录内核产生的各项信息。
logrotate : 主要进行日志文件的轮替功能。
rsyslogd
日志文件内容的一般格式
一般来说，系统产生的信息经过syslog记录的数据，每条信息均会记录下面的几个重要数据。
- 事件发生的日期与时间
- 发生此事件的主机名
- 启动此事件的服务名称和函数名称
- 该信息的实际数据内容
image.png
这里就拿第一条数据做说明：
在7月22日 03:46:03（Jul 22 03:46:03） 由 izuf6i29flb2df231kt91hz这台主机的sshd[pid为3070]传来的消息，信息为 来自175.124.123.28端口46519的用户wuzhenqun无效
syslog的配置文件：/etc/rsyslog.conf(centos7采用rsyslog)
syslog针对各种服务与信息记录在某些文件的配置文件就是/etc/rsyslog.conf.这个文件规定了什么服务的什么等级信息以及需要被记录在那里（设备或文件）
语法规则：
服务名称[.=!]信息等级 信息记录的文件名或设备或主机
mail.info /var/log/maillog_info
# 说明 mail服务产生的大于等于info等级的信息，都记录到/var/log/maillog_info文件中
-
服务名称
syslog设置有一些服务，可以通过这些服务来存储系统的信息，syslog设置的服务主要有下面这些：
| 服务类型 | 说明 |
|---|---|
auth(authpriv) |
主要与认证有关的机制，例如login,ssh,su等需要账号/密码 |
cron |
就是例行性工作调度cron/at等生成信息日志的地方 |
daemon |
与各个daemon有关的信息 |
kern |
就是内核（kernel）产生信息的地方 |
lpr |
即时打印相关的信息 |
mail |
只要与邮件收发有关的信息记录都属于这个 |
news |
与新闻组服务器有关的东西 |
syslog |
就是syslogd这个程序本身生成的信息 |
user,uucp,local0-local7 |
与Unix like机器本身有关的一些信息 |
以上提到的都是syslog自行制定的服务名称。软件开发商可以通过调用上述的服务名称来记录他们的软件。
比如sendmail是与邮件相关的软件，都是调用syslogd内的mail服务。
- 信息等级
| 等级 | 等级名称 | 说明 |
|---|---|---|
| 1 | info |
仅是一些基本的信息说明而已 |
| 2 | notice |
除了info外还需要注意的一些信息内容 |
| 3 | warning(warn) |
警示的信息，可能有问题，但是还不至于影响某个daemon运行的信息 |
| 4 | err(error) |
一些重大的错误信息，例如配置文件的某些设置造成该服务无法启动的信息说明 |
| 5 | crit |
比error还要严重的错误信息，这个crit是临界点（critical）的缩写，这个错误已经很严重了 |
| 6 | alert |
警告，已经很有问题的等级，比crit还严重 |
| 7 | emergency（panic） |
"疼痛"等级，意指系统已经几乎要死机的状态 |
- 链接符号
"." : 代表比后面还要高的等级（含该等级），都被记录下来的意思
".=" ：代表需要的等级就是后面接的等级而已
".!" : 代表不等于，即是除了该等级之外的其他等级都记录
- rsyslog.conf配置(centos7采用rsyslog,这里使用的是rsyslog的数据)
# Don't log private authentication messages!
记录所有日志类型的info级别以及大于info级别的信息到/var/log/messages，但是mail邮件信息，authpriv验证方面的信息和cron时间任务相关的信息除外
*.info;mail.none;authpriv.none;cron.none /var/log/messages
# The authpriv file has restricted access.
authpriv验证相关的所有信息存放在/var/log/secure
authpriv.* /var/log/secure
# Log all the mail messages in one place.
邮件的所有信息存放在/var/log/maillog; 这里有一个-符号, 表示是使用异步的方式记录, 因为日志一般会比较大
mail.* -/var/log/maillog
# Log cron stuff
计划任务有关的信息存放在/var/log/cron
cron.* /var/log/cron
# Everybody gets emergency messages
记录所有的大于等于emerg级别信息, 以wall方式发送给每个登录到系统的人
*.emerg :omusrmsg:*
# Save news errors of level crit and higher in a special file.
记录uucp,news.crit等存放在/var/log/spooler
uucp,news.crit /var/log/spooler
# Save boot messages also to boot.log
启动的相关信息
local7.* /var/log/boot.log
日志文件的安全设置
通过这个chattr属性可以保护日志文件只能被增加，而不能被删除。
chattr +a /var/log/message
日志文件的轮替
配置文件：
/etc/logrotate.conf 主要参数文件
/etc/logrotate.d 目录文件
下图是centos7默认的logrotate.conf文件
logrotate.conf
image.png
