Linux系统中对日志的同步及管理

1.系统日至默认分类

2.日志管理服务rsyslog

1.rsyslog负责采集日志和分类存放日志
2.rsyslog日志分类

vim /etc/rsyslog.conf	     ##主配置文件

格式：

日志设备（类型）.日志级别		/存放文件
*.*			/var/log/westos

systemctl restart rsyslog     ##重起服务

日志设备（日志类型）：

日志级别：

注意：从上到下，级别从低到高，记录的信息越来越少
详细的可以查看手册: man 3 syslog

链接符号

.xxx: 表示大于等于xxx级别的信息
.=xxx：表示等于xxx级别的信息
.!xxx：表示在xxx之外的等级的信息

3.日志同步

systemctl stop firewalld 		##关闭两台主机的火墙

配置日志发送方

*.*             @172.25.254.136		##通过udp协议把日志发送到136主机，@udp，@@tcp

配置日志接受方

$ModLoad imudp		        ##日志接收插件
$UDPServerRun 514			##日志接收插件使用端口

因为在服务端使用的是一个@符号，故使客户端的UDP日志接收插件等的注释去掉，即收发两方的协议必须相同

测试

> /var/log/messages			   ##两边都作
logger test messages           ##日志发送方
cat /var/log/messages          ##查看日志

tail -f /var/log/message       ##日志接收方

若在使用查看日志时出现某一行出错，则将其文件删掉后重起
如50行出错

服务端清空日志，测试日志

客户端可以查看服务端日志

4.日志采集格式

$template WESTOS, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"

注：格式名称必须是大写， “参数”参数两边都有% 参数写在什么位置生成的日志对应参数就在相应的位置 不加换行不会自动换行
参数中间加的分隔符会显示到日志中 出现invalid property name报错是参数写错 在使用该格式的日志文件后加；和格式名称
如果是给别的主机发送就在接收方的/etc/rsyslog.conf下设置同样的格式即可， 否则发送的会以接收方的格式显示
即在哪查看以哪的标准显示

编辑服务端主文件

重起使用test2测试

客户端查看

发现文件的格式没有改变，因为只在服务端做了格式修改而在客户端没有修改
客户端做同样修改

再次查看发现格式改变

5.时间同步

编辑服务，设定时间源
重起服务
服务端关闭防火墙，防火墙不允许别的主机访问或向本机发送数据包

23行 把时间共享出去，允许谁去同步我的时间，allow 172.25.136/24 只要前三个数字相同就可以访问
30行 local stratum 10 表示时间源的级别，本机不同步任何主机的时间，本机作为时间源

客户端

vim /etc/chrony.conf

删掉原有的网址，设置服务端ip

访问端 只保留一行 server 后的是ip地址，iburst是指让更改立即生效

客户端测试：
<1>为了区别时间可以在客户端设置一个别的时间

<2>在未重启服务之前
chronyc sources -v查看当前的设置

<3>重启服务，再次查看，时间与服务端同步

timedatectl命令

设置本地时间


查看时区

设置时间

设置时区‘

6.journal

journalctl  ##日志查看工具

journalctl主要保证日志的时效性和详细性，保存，备份，以及定时删除日志不是他的特长，但是，他也可以实现
注：journalctl查到的是系统当前生成的日志；系统重启之后，内存断过电，保存的日志就会丢失，用journalct就查看不到日志；
而/var/log/messages文件里记录的是被采集过的日志，系统重启不影响其对日志的记录

使用systemd-journald保存系统日志

默认systemd-journald是不保存系统日志到硬盘的
那么关机后再次开机只能看到本次开机之后的日志
上次关机之前的日志是无法查看的
想要查看关机之前的日志，首先：
创建日志文件，改变其组，给特殊权限

重新加载systemd-journald进程配置
查看日志内容

发现文件中的内容是当前机器的机器id
重起虚拟机
查看历史记录
就可以保存08：24：59以前的内容