测试 syslog本地和远程日志分离以及日志分割

admin · 发表于 2023-3-21 13:06:17

第一步：配置syslog或者rsyslog服务

对于rsyslog

#vim /etc/sysconfig/rsyslog

将SYSLOGD_OPTIONS修改为
SYSLOGD_OPTIONS="-c 2 -r -m 0 -x"

-c 2 的意思是：
# syslogd options are deprecated since rsyslog v3
# if you want to use them, switch to compatibility mode 2 by "-c 2"
-r 意思是接收远程日志
-x 是关闭自动解析对方日志服务器的FQDN信息，这能避免DNS不完整所带来的麻烦，要和-r一起用。
-m 0 # -m 0 disables 'MARK' messages.

对于syslog

#vim /etc/sysconfig/syslog

SYSLOGD_OPTIONS="-r -m 0 -x"

重拉syslog 或者 rsyslog

第二步，修改syslog或者rsyslog服务的配置文件

对于rsyslog：

#vim /etc/rsyslog.conf

开启UDP和TCP（配置默认是注释掉的，删掉#开启即可）

# Provides UDP syslog reception ###udp协议的syslog日志
$ModLoad imudp.so
$UDPServerRun 514

# Provides TCP syslog reception ##tcp协议的syslog日志
$ModLoad imtcp.so
$InputTCPServerRun 514

在 #### RULES #### 下添加自定义的类型和级别以及指定的输出文件路径，比如:

$template FILENAME,"/data/%fromhost-ip%/message.log"
$template FILENAME,"/data/%fromhost-ip%/mesage%fromhost-ip%.log"

*.* ?FILENAME

例子：# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514
$template FILENAME,"/data/%fromhost-ip%/message%fromhost-ip%.log"
*.* ?FILENAME

# Log all the web messages in one place.

local0.* -/var/log/web/web-access.log #原文格式

重拉后发现还是会记录动啊messages中去，因此修改messages行配置如下：

!local0.*;*.info;mail.none;authpriv.none;cron.none /var/log/messages #原文格式

例子测试格式：
!$template;*.info;mail.none;authpriv.none;cron.none             /data/message

即在行首添加一个“!local0.*;”配置，意思是说，local0下所有级别的日志不记录到messages中去。

systemctl restart rsyslog.service
重拉后生效。

logrotate中其他可配置参数，具体如下：

compress    # 通过gzip 压缩转储以后的日志
nocompress    # 不做gzip压缩处理
copytruncate    # 用于还在打开中的日志文件，把当前日志备份并截断；是先拷贝再清空的方式，拷贝和清空之间有一个时间差，可能会丢失部分日志数据。
nocopytruncate    # 备份日志文件不过不截断
create mode owner group # 轮转时指定创建新文件的属性，如create 0777 nobody nobody
nocreate    # 不建立新的日志文件
delaycompress    # 和compress 一起使用时，转储的日志文件到下一次转储时才压缩
nodelaycompress          # 覆盖delaycompress 选项，转储同时压缩。
missingok    # 如果日志丢失，不报错继续滚动下一个日志
errors address          # 专储时的错误信息发送到指定的Email 地址
ifempty    # 即使日志文件为空文件也做轮转，这个是logrotate的缺省选项。
notifempty    # 当日志文件为空时，不进行轮转
mail address    # 把转储的日志文件发送到指定的E-mail 地址
nomail    # 转储时不发送日志文件
olddir directory    # 转储后的日志文件放入指定的目录，必须和当前日志文件在同一个文件系统
noolddir                # 转储后的日志文件和当前日志文件放在同一个目录下
sharedscripts    # 运行postrotate脚本，作用是在所有日志都轮转后统一执行一次脚本。如果没有配置这个，那么每个日志轮转后都会执行一次脚本
prerotate    # 在logrotate转储之前需要执行的指令，例如修改文件的属性等动作；必须独立成行
postrotate    # 在logrotate转储之后需要执行的指令，例如重新启动(kill -HUP) 某个服务！必须独立成行
daily                   # 指定转储周期为每天
weekly    # 指定转储周期为每周
monthly    # 指定转储周期为每月
rotate count    # 指定日志文件删除之前转储的次数，0 指没有备份，5 指保留5 个备份
dateext    # 使用当期日期作为命名格式
dateformat .%s    # 配合dateext使用，紧跟在下一行出现，定义文件切割后的文件名，必须配合dateext使用，只支持%Y %m %d %s 这四个参数
size(或minsize) log-size # 当日志文件到达指定的大小时才转储，log-size能指定bytes(缺省)及KB (sizek)或MB(sizem).
# 当日志文件>= log-size 的时候就转储。以下为合法格式：（其他格式的单位大小写没有试过）
# size = 5 或size 5 （>= 5 个字节就转储）
# size = 100k 或size 100k
# size = 100M 或size 100M

admin · 发表于 2023-3-21 13:36:02

日志分割:
vim /etc/logrotate.conf
/data/*/*.log{
rotate 10
#weekly
hours
postrotate
minsize 500M
create 0664 root b
}

logrotate -vf /etc/logrotate.conf

admin · 发表于 2023-3-21 13:39:45

/data/*/*.log{
rotate 10
#weekly
hours
postrotate
#minsize 500M
create 0664 root *.log
}

logrotate -vf /etc/logrotate.conf

admin · 发表于 2023-3-21 13:58:47

[root@server ~]# rpm -ql rsyslog
/etc/logrotate.d/syslog
/etc/pki/rsyslog
/etc/rc.d/init.d/rsyslog //启动脚本
/etc/rsyslog.conf //主配置文件
/etc/rsyslog.d //子配置文件
/etc/sysconfig/rsyslog
/sbin/rsyslogd
/usr/share/man/man5/rsyslog.conf.5.gz
/usr/share/man/man8/rsyslogd.8.gz

[root@server ~]# grep -v ^# /etc/rsyslog.conf
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imklog # provides kernel logging support (previously done by rklogd)
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$IncludeConfig /etc/rsyslog.d/*.conf

*.info;mail.none;authpriv.none;cron.none             /var/log/messages

authpriv.*                                           /var/log/secure

mail.*                                                 -/var/log/maillog

cron.*                                                 /var/log/cron

*.emerg                                              *

uucp,news.crit                                        /var/log/spooler

local7.*                                              /var/log/boot.log

$template SpiceTmpl,"%TIMESTAMP%.%TIMESTAMP:::date-subseconds% %syslogtag% %syslogseverity-text%:%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n"

:programname, startswith, "spice-vdagent" /var/log/spice-vdagent.log;SpiceTmpl

admin · 发表于 2023-3-21 13:59:46

更改ssh服务的默认日志记录载体
通过rsyslog程序去管理来自指定设备载体的日志记录到指定的文件（修改/etc/rsyslog.conf）
测试验证
1.修改ssh服务配置文件
[root@server ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
[root@server ~]# vim /etc/ssh/sshd_config
SyslogFacility LOCAL6
2.重启服务
[root@server ~]# service sshd restart
Stopping sshd:                                           [  OK  ]
Starting sshd:                                           [  OK  ]
3.将来自LOCAL6设备载体日志记录指定位置（rsyslog）
[root@server ~]# vim /etc/rsyslog.conf
local6.*                                              /var/log/ssh
4.重启rsyslog服务
[root@server ~]# service rsyslog restart
Shutting down system logger:                            [  OK  ]
Starting system logger:                                  [  OK  ]
5.客户端测试
[root@client ~]# ssh 10.1.1.2
Last login: Fri Apr 26 12:27:33 2019 from 10.1.1.1
[root@server log]# ll ssh
-rw------- 1 root root 0 Apr 26 13:40 ssh
[root@server log]# tail -f ssh
Apr 26 13:42:09 server sshd[2447]: Accepted publickey for root from 10.1.1.3 port 35951 ssh2
Apr 26 13:44:10 server sshd[2447]: Received disconnect from 10.1.1.3: 11: disconnected by user
此时进行ssh访问，日志会在local6和/var/log/messages里都出现

如果不想记录到/messages，可修改/etc/rsyslog.conf,添加local6.none，则不再显示ssh的日志
*.info;mail.none;authpriv.none;cron.none;local6.none             /var/log/messages

admin · 发表于 2023-3-21 14:00:54

六、日志轮转
日志轮循（轮转）：日志轮转，切割，备份，归档

为什么要日志轮转？
避免日志过大占满/var/log的文件系统
方便日志查看
将丢弃系统中最旧的日志文件，以节省空间
日志轮转的程序是logrotate
logrotate本身不是系统守护进程，它是通过计划crond每天执行
如何进行日志轮转？
了解相关配置文件
[root@log-server ~]# rpm -ql logrotate
/etc/cron.daily/logrotate 周期性计划任务
/etc/logrotate.conf 配置文件
/etc/logrotate.d 子配置文件存放路径
/usr/sbin/logrotate
/usr/share/doc/logrotate-3.7.8
/usr/share/doc/logrotate-3.7.8/CHANGES
/usr/share/doc/logrotate-3.7.8/COPYING
/usr/share/man/man5/logrotate.conf.5.gz
/usr/share/man/man8/logrotate.8.gz
/var/lib/logrotate.status

[root@log-server ~]# cat /etc/logrotate.conf
# see "man logrotate" for details
# rotate log files weekly
weekly

# keep 4 weeks worth of backlogs 保留4周备份日志
rotate 4

# create new (empty) log files after rotating old ones
create

# use date as a suffix of the rotated file 日期作为后缀给旧文件重命名
dateext

# uncomment this if you want your log files compressed
#compress

# RPM packages drop log rotation information into this directory
include /etc/logrotate.d 加载外部目录

# no packages own wtmp and btmp -- we'll rotate them here
/var/log/wtmp {
monthly
create 0664 root utmp
minsize 1M
rotate 1 保留1份日志文件，每一个月备份一次日志文件
}

/var/log/btmp {
missingok
monthly
create 0600 root utmp
rotate 1
}

# system-specific logs may be also be configured here.

常见的一些参数：
daily 指定转储周期为每天
monthly 指定转储周期为每月
weekly 每周轮转一次
rotate 4 同一个文件最多轮转4次，4次之后就删除该文件
create 0664 root uttmp 轮转之后创建新文件，权限是0664，属于root用户和utmp组
dateext 用日期来做轮转之后的文件的后缀名
compress 用gzip对轮转后的日志进行压缩
minsize 30K 文件必须大于30k，且周期到了，才会轮转
size 30K 文件大于30k才会轮转，不论周期是否已到
missingok 如果日志文件不存在，不报错
notifempty 如果日志文件是空的，不轮转
delaycompress 下一次轮转的时候才压缩
sharedscripts 不管有多少个文件待轮转，prerotate和postrotate代码只执行一次
prerotate 如果符合轮转的条件，则在轮转之前执行prerotate和endscript之间的shell代码
postrotate 轮转完成后执行postrotate和endscript之间的shell代码

[root@server~]# cat /etc/logrotate.d/syslog
这个子配置文件，没有指定的参数都会以默认方式轮转
/var/log/cron
/var/log/maillog
/var/log/messages
/var/log/secure
/var/log/spooler
{
sharedscripts 不管有多少个文件待轮转，prerotate和postrotate代码只执行一次
postrotate 转换完后执行postrotate和endscirpt之间的shell代码
/bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
轮转后对rsyslog的pid进行刷新（但pid其实不变）
endscript
}
思考：为什么轮转后需要对rsyslog的pid进行刷新？
ll -i 查看文件的inode
-HUP 平滑重启

不以时间为后缀进行轮转，在/etc/logrotate.conf/ nodateext

清空环境

重启服务

结论

后刷新pid的话，logger -t "呵呵" "再见！"会写入旧文件（messages.1）里面

将这句话放在/bin/kill这条命令后面，会写入新文件里

最新的文件是messages，第一次强制轮转后的旧文件是messages.1，cat messages.1会看到logger -t "呵呵" "再见！"，到第二次就成messages.2。而第二次轮转后的messages.1成了第一次轮转后的messages的老文件。（看时间区别）

admin · 发表于 2023-3-21 15:21:32

手工配置
如果您无法通过脚本生成配置文件，这份指导将帮助您通过简单的复制、粘贴手动完成配置。

假定您已拥有root或sudo权限，是在通用的Linux平台使用5.8.0或更高版本的rsyslog，rsyslog能接收本地系统日志，并通过5140端口与外界连接。

1 配置系统环境
粘贴以下脚本并运行，并且保证 /var/spool/rsyslog 目录已存在，如果是Ubuntu系统，还需要对目录进行权限设置。

sudo mkdir -v /var/spool/rsyslog
if [ "$(grep Ubuntu /etc/issue)" != "" ]; then
sudo chown -R syslog:adm /var/spool/rsyslog
fi
2 更新rsyslog配置文件。
打开rsyslog配置文件，它通常在 /etc/ 目录下

sudo vim /etc/rsyslog.d/rizhiyi.conf
将下列内容粘贴在这个配置文件中

复制代码
#real tran log
$ModLoad imfile 　　　　　　　　　　　　　　#装载imfile模块
$InputFilePollInterval 3 　　　　　　　　 #检查日志文件间隔（秒）
$WorkDirectory /var/spool/rsyslog    #定义工作目录。例如队列文件存储存储文件夹。

$InputFileName FILEPATH 　　　　　　　　　 #读取日志文件
$InputFileTag APPNAME 　　　　　　　　　　 #日志写入日志附加标签字符串不要添加特殊符号
$InputFileStateFile stat_APPNAME 　　　　#定义记录偏移量数据文件名不要添加特殊符号
$InputFileSeverity info 　　　　　　　　　#日志等级
$InputFilePersistStateInterval 20000 #回写偏移量数据到文件间隔时间（秒）
$RepeatedMsgReduction off 　　　　　　　　#关闭重复消息控制
$InputRunFileMonitor 　　　　　　　　　　　#This activates the current monitor. It has no parameters. If you forget this directive, no file monitoring will take place.
#https://www.rizhiyi.com/docs/fastuse/tag/  设置标签(rsyslog)
$template RizhiyiFormat_APPNAME,"<%pri%>%protocol-version% %timestamp:::date-rfc3339% %HOSTNAME% %app-name% %procid% %msgid% [06f69fae723038bbc5d75d29564051ea@32473    tag=\"TAG\"] %msg%\n"
                              #<85>       0 2014-09-14T16:52:59.814155+08:00 macbook my_app    -    - [91595477-c8e4-42b8-b1f9-696465b422ff@32473 tag="file_upload" tag="my_tag"]
复制代码
if $programname == 'APPNAME' then @@log.rizhiyi.com:5140;RizhiyiFormat_APPNAME
if $programname == 'APPNAME' then ~

---------------------------------------------------------------对应的单台测试机的配置如下---------------------------------------------------------------------------------------

并替换

FILEPATH: 需要上传的日志文件的绝对路径，必须包含日志文件名。
示例：/var/log/nginx/access.log
APPNAME: 用于标识上传的唯一应用来源，可用来定义日志分组，这将帮助您有效划分日志，缩小搜索范围。APPNAME设置正确与否直接影响到后台对日志字段的提取。如果您是VIP用户，日志易为您定制了日志解析规则，请填写日志易提供的针对该日志的APPNAME，以使定制的日志解析规则生效。
示例： nginx_access
TAG: 标签，标识日志的扩展信息，可定义多个标识，这里替换为您自行定义的标签，可用来定义日志分组，这将帮助您有效划分日志，缩小搜索范围。
示例： rizhiyi_search
注意:

在 /etc/rsyslog.d/ 下的rsyslog配置文件中：
$InputFileTag定义的APPNAME必须唯一，同一台主机上不同的应用应当使用不同的APPNAME，否则会导致新定义的TOKEN和TAG不生效；
$template定义的模板名必须唯一，否则会导致新定义的TOKEN和TAG不生效；
$InputFileStateFile定义的StateFile必须唯一，它被rsyslog用于记录文件上传进度，否则会导致混乱；
注意：@@log.rizhiyi.com:5140 该值为接收日志的服务器域名或者主机名。默认是log.rizhiyi.com:5140
3 重启rsyslog
$ sudo service rsyslog restart
4 验证
例如，配置文件中的tag字段已修改为"rizhiyi_search"，可使用"tag:rizhiyi_search"搜索过去一小时的事件，检查日志易是否成功接收并正确识别日志，建立索引可能需要几十秒钟时间，需要等待几十秒钟。

#参考:

http://www.voidcn.com/blog/anghlq/article/p-4958086.html

http://www.wnqzw.com/article/10798.html

附:

日志輸出模板
通過模板可以更具需要來控制日志輸出的樣式。格式如下：
$template <TEMPLATE_NAME>,"text %<PROPERTY>% more text", [<options>]
$template 爲模板指令。<TEMPLATE_NAME> 爲模板名。"" 之間的文本爲模板格式。被 % 包含的文本對應相關的屬性。<options> 指定修改模板功能的一些選項,例如 sql 或者 stdsql 會格式化文本爲 SQL 查詢。
動態文件輸出
通過日志和/或系統屬性決定輸出文件名。
$template DynamicFile,"/var/log/test_logs/%timegenerated%-test.log"
*.* ?DynamicFile
使用 timegenerated 生成文件名，使用該模板則在前面加上 ?。
其他例子如下：
$template DailyPerHostLogs,"/var/log/syslog/%$YEAR%/%$MONTH%/%$DAY%/%HOSTNAME%/messages.log"
根據屬性控制日志輸出格式
使用下面的格式可以對模板之中的屬性做各種修改操作從而定制日志的格式:
%<propname>[:<fromChar>:<toChar>:<options>]%
<propname> 屬性名，可用的屬性名參考上文。
<fromChar> 和 <toChar> 表示對屬性值字符串的操作範圍。設置 <fromChar> 爲 R，<toChar> 爲正則表達式即可以通過正則表達式定義範圍。
<options> 則表示屬性選項。完整的列表可以參考這裏的 Property Options 節。
一些示例如下：
%msg% # 日志的完整消息文本
%msg:1:2% # 日志消息文本的最開始兩個字符
%msg:::drop-last-lf% # 日志的完整消息文本，移出最後的換行符
%timegenerated:1:10:date-rfc3339% # 時間戳的頭10個字符並按 RFC3999 標准格式化
下面是一些模板例子。
輸出日志的級別，類別，收到日志時的時間錯，主機名，消息標簽，消息正文，加上換行符：
$template verbose,"%syslogseverity%,%syslogfacility%,%timegenerated%,%HOSTNAME%,%syslogtag%,%msg%\n"
輸出日志來源，時間以及日志標簽，正文，同時還有蜂鳴聲（\7）：
$template wallmsg,"\r\n\7Message from syslogd@%HOSTNAME% at %timegenerated% ...\r\n %syslogtag% %msg%\n\r"
格式化日志以便于直接進行 SQL 操作：
$template dbFormat,"insert into SystemEvents (Message, Facility,FromHost, Priority, DeviceReportedTime, ReceivedAt, InfoUnitID, SysLogTag) values ('%msg%', %syslogfacility%, '%HOSTNAME%',%syslogpriority%, '%timereported:::date-mysql%', '%timegenerated:::date-mysql%', %iut%, '%syslogtag%')",sql
以 json 格式輸出，方便程序解析：
$template jsonFormat,"{\"message\":\"%msg:::json%\",\"fromhost\":\"%HOSTNAME:::json%\",\"facility\":\"%syslogfacility-text%\",\"priority\":\"%syslogpriority-text%\",\"timereported\":\"%timereported:::date-rfc3339%\",\"timegenerated\":\"%timegenerated:::date-rfc3339%\"}\n"
注意，message 的內容會在最前面多一個空格，其解釋請參考這裏。
rsyslog 也提供了一些預定義的模板（以 RSYSLOG_ 爲前綴），參考這裏的 Reserved Template Names 節，其定義如下：
RSYSLOG_FileFormat
"%TIMESTAMP:::date-rfc3339% %HOSTNAME% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n\"
RSYSLOG_TraditionalFileFormat
"%TIMESTAMP% %HOSTNAME% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n\"
RSYSLOG_ForwardFormat
"<%PRI%>%TIMESTAMP:::date-rfc3339% %HOSTNAME% %syslogtag:1:32%%msg:::sp-if-no-1st-sp%%msg%\"
RSYSLOG_TraditionalForwardFormat
"<%PRI%>%TIMESTAMP% %HOSTNAME% %syslogtag:1:32%%msg:::sp-if-no-1st-sp%%msg%\"
使用這些模板，則在動作後附加 “;template_name” 即可，例如：
:programname,startswith,"cron" -/var/log/cron;RSYSLOG_TraditionalFileFormat

admin · 发表于 2023-3-23 15:30:26

Rsyslog系统日志管理
课程目标

了解日志的级别与作用
掌握 rsyslog 服务的本地日志和远程日志的管理
能够使用 logrotate 程序根据需求对日志进行轮转
一、常见的系统日志
日志格式：文本日志/二进制日志/数据库日志
默认的相关日志文件：
/var/log/boot.log 系统引导日志，记录开机启动信息
/var/log/dmesg 核心的启动日志
/var/log/message 系统的日志文件
/var/log/maillog 邮件服务的日志
/var/log/xferlog ftp服务的日志
/var/log/secure 网络连接及系统登录的安全信息
/var/log/cron 定时任务的日志
/var/log/wtmp 记录所有的登入和登出 last -f 查看
/var/log/btmp 记录失败的登入尝试
二、日志管理程序
在RHEL6中，syslogd已经被rsyslog取代，它可以将日志写入数据库，并可以利用模板和插件控制输入输出。
rsyslog程序管理本地和远程日志
安装软件
根据需求修改配置文件
启动服务
测试验证
三、日志级别
# man syslog
日志信息分为以下级别，从上到下级别一次降低
none none不是一个等级，它表示不记录服务的所有信息
0 emerg 系统不可用
1 alert 特别留意的报警信息
2 crit 非常严重的状况
3 err 错误信息
4 warning 警告信息
5 notice 稍微需要注意的信息
6 info 正常信息
7 debug 调试信息，开发人员使用

四、日志配置
[root@server ~]# rpm -q rsyslog
rsyslog-5.8.10-8.el6.x86_64
[root@server ~]# rpm -ql rsyslog
/etc/logrotate.d/syslog
/etc/pki/rsyslog
/etc/rc.d/init.d/rsyslog //启动脚本
/etc/rsyslog.conf //主配置文件
/etc/rsyslog.d //子配置文件
/etc/sysconfig/rsyslog
/sbin/rsyslogd
/usr/share/man/man5/rsyslog.conf.5.gz
/usr/share/man/man8/rsyslogd.8.gz

[root@server ~]# grep -v ^# /etc/rsyslog.conf
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imklog # provides kernel logging support (previously done by rklogd)
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
$IncludeConfig /etc/rsyslog.d/*.conf

*.info;mail.none;authpriv.none;cron.none             /var/log/messages

authpriv.*                                           /var/log/secure

mail.*                                                 -/var/log/maillog

cron.*                                                 /var/log/cron

*.emerg                                              *

uucp,news.crit                                        /var/log/spooler

local7.*                                              /var/log/boot.log

$template SpiceTmpl,"%TIMESTAMP%.%TIMESTAMP:::date-subseconds% %syslogtag% %syslogseverity-text%:%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n"

:programname, startswith, "spice-vdagent" /var/log/spice-vdagent.log;SpiceTmpl

1.日志定义相关符号
配置文件中常见的表示符合
. 用来分隔服务和级别
* 任何服务，或者任何级别
= 有等号表示等于某一级别，没有等号表示大于或者等于某一级别
！排除操作，前面有相同服务的表达式，这个操作才有意义
代表从前面表达式所包含的内容中排除某些内容
; 用于分隔不同的服务，级别，组合
, 用于分隔不同服务
- 用于指定目标文件时，代表异步写入

举例说明
mail.=info
mail.info mail服务大于等于info级别的日志
mail.info;cron.=info /var/log/test.log
mail,cron.err
cron.=warning
mail,cron.info

cron.info;cron.!=err 012456
0123456 0124567
cron.info;cron.!err 456
0123456 4567

特别说明：
The facility is one of the following keywords: auth,
   authpriv, cron, daemon, kern, lpr, mail, mark, news,
   security  (same  as  auth),  syslog,  user, uucp and
   local0 through local7.（设备载体）
log facility 设备设施：用来记录一种类型日志的日志设备

daemon
auth
authpriv
user
mail
lpr
news
uucp
ftp
local7


本地日志管理ssh

[root@server ~]# man sshd_config
SyslogFacility
      Gives the facility code that is used when logging
      messages from sshd(8).  The possible values are: DAE-
      MON, USER, AUTH, AUTHPRIV, LOCAL0, LOCAL1, LOCAL2,
      LOCAL3, LOCAL4, LOCAL5, LOCAL6, LOCAL7.  The default
      is AUTH.
更改ssh服务的默认日志记录载体
通过rsyslog程序去管理来自指定设备载体的日志记录到指定的文件（修改/etc/rsyslog.conf）
测试验证
1.修改ssh服务配置文件
[root@server ~]# cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
[root@server ~]# vim /etc/ssh/sshd_config
SyslogFacility LOCAL6
2.重启服务
[root@server ~]# service sshd restart
Stopping sshd:                                           [  OK  ]
Starting sshd:                                           [  OK  ]
3.将来自LOCAL6设备载体日志记录指定位置（rsyslog）
[root@server ~]# vim /etc/rsyslog.conf
local6.*                                              /var/log/ssh
4.重启rsyslog服务
[root@server ~]# service rsyslog restart
Shutting down system logger:                            [  OK  ]
Starting system logger:                                  [  OK  ]
5.客户端测试
[root@client ~]# ssh 10.1.1.2
Last login: Fri Apr 26 12:27:33 2019 from 10.1.1.1
[root@server log]# ll ssh
-rw------- 1 root root 0 Apr 26 13:40 ssh
[root@server log]# tail -f ssh
Apr 26 13:42:09 server sshd[2447]: Accepted publickey for root from 10.1.1.3 port 35951 ssh2
Apr 26 13:44:10 server sshd[2447]: Received disconnect from 10.1.1.3: 11: disconnected by user
此时进行ssh访问，日志会在local6和/var/log/messages里都出现

如果不想记录到/messages，可修改/etc/rsyslog.conf,添加local6.none，则不再显示ssh的日志
*.info;mail.none;authpriv.none;cron.none;local6.none             /var/log/messages

五、远程日志管理
目前：把多台服务器的日志远程记录到其中一台日志服务器集中化管理，方便对其统一分析和管理

环境：

log-server：10.1.1.2

应用服务器：10.1.1.3

ssh服务服务——>其他人远程访问该应用服务器产生ssh服务日志——>远程记录到log-server上

client：10.1.1.4

ssh：10.1.1.3——>日志记录10.1.1.2

需求：把web服务器上的ssh服务日志，远程记录到log-server上

思路：

web应用服务器上操作

将web服务器上的ssh服务的日志单独记录
指定ssh服务的设备载体
重启服务
将来自于ssh服务的日志设备载体上的日志远程发送到log-server上
以下操作在log-server上操作

通过修改配置文件，打开日志传输端口
加载相应模块 tcp | udp
打开接收端口默认514端口
启动服务后日志默认会保存到/var/log/messages
步骤：

以下操作在log-service（10.1.1.2）服务上完成
1.加载相应模块打开接收端口（可以选择udp、tcp都打开）
[root@log-server ~]# vim /etc/rsyslog.conf
# Provides UDP syslog reception
$ModLoad imudp
$UDPServerRun 514

# Provides TCP syslog reception
$ModLoad imtcp
$InputTCPServerRun 514
2.重启服务
service rsyslog restart
[root@log-server ~]# netstat -nltup |grep 514 //验证端口是否打开
tcp       0    0 0.0.0.0:514                0.0.0.0:*                LISTEN    2822/rsyslogd
tcp       0    0 :::514                   :::*                      LISTEN    2822/rsyslogd
udp       0    0 0.0.0.0:514                0.0.0.0:*                            2822/rsyslogd
udp       0    0 :::514                   :::*                                  2822/rsyslogd

以下操作在应用服务器完成（10.1.1.3）：
1.指定ssh服务的日志文件的设备载体
[root@ssh-server ~]# vim /etc/ssh/sshd_config
SyslogFacility LOCAL0
2.重启ssh服务
[root@ssh-server ~]# service sshd restart
3.修改/etc/rsyslog.conf来指定ssh服务的日志发送到远端去
[root@ssh-server ~]# vim /etc/rsyslog.conf

# remote host is: name/ip:port, e.g. 192.168.0.1:514, port optional
#*.* @@remote-host:514

local0.*       @10.1.1.2:514 //一个@表示udp，两个@表示tcp
最关键的一步，将日志远程发送给10.1.1.2

4.重启rsyslog服务
[root@ssh-server ~]# service rsyslog restart
Shutting down system logger:                            [  OK  ]
Starting system logger:                                  [  OK  ]

测试验证（client：10.1.1.4）
[root@client ~]# ssh 10.1.1.3
The authenticity of host '10.1.1.3 (10.1.1.3)' can't be established.
RSA key fingerprint is a5:98:06:58:84:35:d3:f4:4c:f8:43:a1:a5:12:f5:8e.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '10.1.1.3' (RSA) to the list of known hosts.
root@10.1.1.3's password:
Last login: Fri Apr 26 14:46:31 2019 from 10.1.1.1

[root@log-server ~]# tail -f /var/log/messages
Apr 26 15:12:30 ssh-server sshd[2858]: Accepted password for root from 10.1.1.4 port 58561 ssh2
[root@ssh-server ~]# tail -f /var/log/messages
Apr 26 15:12:30 ssh-server sshd[2858]: Accepted password for root from 10.1.1.4 port 58561 ssh2
（不想记录就修改/etc/rsyslog.conf,将local0.none加在/var/log/messages那行里）

注意：selinux和防火墙，还有udp和tcp 端口514是否打开

六、日志轮转
日志轮循（轮转）：日志轮转，切割，备份，归档

为什么要日志轮转？
避免日志过大占满/var/log的文件系统
方便日志查看
将丢弃系统中最旧的日志文件，以节省空间
日志轮转的程序是logrotate
logrotate本身不是系统守护进程，它是通过计划crond每天执行
如何进行日志轮转？
了解相关配置文件
[root@log-server ~]# rpm -ql logrotate
/etc/cron.daily/logrotate 周期性计划任务
/etc/logrotate.conf 配置文件
/etc/logrotate.d 子配置文件存放路径
/usr/sbin/logrotate
/usr/share/doc/logrotate-3.7.8
/usr/share/doc/logrotate-3.7.8/CHANGES
/usr/share/doc/logrotate-3.7.8/COPYING
/usr/share/man/man5/logrotate.conf.5.gz
/usr/share/man/man8/logrotate.8.gz
/var/lib/logrotate.status

[root@log-server ~]# cat /etc/logrotate.conf
# see "man logrotate" for details
# rotate log files weekly
weekly

# keep 4 weeks worth of backlogs 保留4周备份日志
rotate 4

# create new (empty) log files after rotating old ones
create

# use date as a suffix of the rotated file 日期作为后缀给旧文件重命名
dateext

# uncomment this if you want your log files compressed
#compress

# RPM packages drop log rotation information into this directory
include /etc/logrotate.d 加载外部目录

# no packages own wtmp and btmp -- we'll rotate them here
/var/log/wtmp {
monthly
create 0664 root utmp
minsize 1M
rotate 1 保留1份日志文件，每一个月备份一次日志文件
}

/var/log/btmp {
missingok
monthly
create 0600 root utmp
rotate 1
}

# system-specific logs may be also be configured here.

常见的一些参数：
daily 指定转储周期为每天
monthly 指定转储周期为每月
weekly 每周轮转一次
rotate 4 同一个文件最多轮转4次，4次之后就删除该文件
create 0664 root uttmp 轮转之后创建新文件，权限是0664，属于root用户和utmp组
dateext 用日期来做轮转之后的文件的后缀名
compress 用gzip对轮转后的日志进行压缩
minsize 30K 文件必须大于30k，且周期到了，才会轮转
size 30K 文件大于30k才会轮转，不论周期是否已到
missingok 如果日志文件不存在，不报错
notifempty 如果日志文件是空的，不轮转
delaycompress 下一次轮转的时候才压缩
sharedscripts 不管有多少个文件待轮转，prerotate和postrotate代码只执行一次
prerotate 如果符合轮转的条件，则在轮转之前执行prerotate和endscript之间的shell代码
postrotate 轮转完成后执行postrotate和endscript之间的shell代码

[root@server~]# cat /etc/logrotate.d/syslog
这个子配置文件，没有指定的参数都会以默认方式轮转
/var/log/cron
/var/log/maillog
/var/log/messages
/var/log/secure
/var/log/spooler
{
sharedscripts 不管有多少个文件待轮转，prerotate和postrotate代码只执行一次
postrotate 转换完后执行postrotate和endscirpt之间的shell代码
/bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
轮转后对rsyslog的pid进行刷新（但pid其实不变）
endscript
}
思考：为什么轮转后需要对rsyslog的pid进行刷新？
ll -i 查看文件的inode
-HUP 平滑重启

不以时间为后缀进行轮转，在/etc/logrotate.conf/ nodateext

清空环境

重启服务

结论

后刷新pid的话，logger -t "呵呵" "再见！"会写入旧文件（messages.1）里面

将这句话放在/bin/kill这条命令后面，会写入新文件里

最新的文件是messages，第一次强制轮转后的旧文件是messages.1，cat messages.1会看到logger -t "呵呵" "再见！"，到第二次就成messages.2。而第二次轮转后的messages.1成了第一次轮转后的messages的老文件。（看时间区别）

		自动登录	找回密码
密码			注册