Linux学习日记 —— 14.1 Linux日志管理-简介

1、日志服务

在 CentOS 6.x 中日志服务已经由rsyslogd取代了原先的syslogd服务。rsyslogd日志服务更加先进，功能更多。但学起来基本与syslogd服务一致。

2、查看日志服务是否启动

[root@localhost~]# ps aux | grep rsyslogd
通过查看rsyslogd服务的进程是否存在，判断日志服务rsyslogd是否启动

chkconfig --list | grep rsyslog
查看rsyslogd服务是否设置了开机自启动
（默认情况下，Linux系统中的日志服务都是自启动和已经启动的）

3、常见日志的作用

日志文件	作用
/var/log/cron	记录了定时任务相关的日志。
/var/log/cups	记录了打印信息的日志。
/var/log/dmesg	记录了系统在开机时内核自检的信息。也可以使用dmesg命令直接查看内核自检信息。
/var/log/btmp	记录错误登录的日志。这个文件是二进制文件，不能直接vi查看，而要使用lastb命令查看。
/var/log/lastlog	记录系统中所有用户最后一次登录时间的日志。这个文件也是二进制文件，不能直接vi查看，而要使用lastlog命令查看。
/var/log/maillog	记录邮件信息。
/var/log/message	记录系统重要信息。该日志文件会记录Linux系统的绝大多数重要信息，如果系统出现问题，首先应该查看这个文件。
/var/log/secure	记录验证和授权方面的信息，只要涉及账户和密码的程序都会记录。比如系统的登录，ssh的登录，su切换用户，sudo授权，甚至添加用户和修改密码都会记录。
/var/log/wtmp	永久记录所有用户的登录、注销信息，同时记录系统的启动、重启、关机事件。它也是一个二进制文件，需要用last命令查看。
/var/run/utmp	记录当前已经登录的用户信息。这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息。这个文件也不能直接vi查看，而要使用w，who，users等命令来查询。

/var/log/btmp日志文件中lastb命令查看：
[root@localhost log]# lastb
root tty1         Tue Jun 4 22:38
#有人在6月4日22点38使用root用户在本地终端1登录错误

除了系统默认的日志之外，采用RPM包安装的服务也会默认把日志记录在/var/log/目录中（源码包安装的服务日志是在源码包的指定目录中）。不过这些日志不是用rsyslogd服务来记录和管理的，而是各个服务使用自己的日志管理文档来记录自身的日志。