Linux 系统日志查看分析(Rsyslog)

1、Rsyslog简介

Rsyslog是一个主机可配置的、统一的系统日志记录工具。系统使用一个集中的系统日志进程，/etc/rsyslog.conf是rsyslog的主配置文件。/etc/rsyslog.conf、/etc/rsyslog.d/*.conf和/etc/sysconfig/rsyslog来配置rsyslog的行为。/etc/sysconfig/rsyslog文件用于配置守护进程的运行参数。

2、配置文件

配置文件格式：

Facility.Priority;Facility1.Priority1...    Action

配置文件中每条配置项的格式，配置说明如下表：

1）Facility

配置值说明如下表：

2）Priority

日志优先级的配置值说明如下表：

3）Action

日志记录位置的配置值说明如下表：

配置文件说明：

/etc/rsyslog.conf 是rsyslog服务的总配置文件，而/etc/rsyslog.d 目录是单独配置的rsyslog配置文件。

/etc/rsyslog.conf配置文件内容： 

# Include all config files in /etc/rsyslog.d/
#
$IncludeConfig /etc/rsyslog.d/*.conf
# 推荐将所有的rule都配置在该目录下，/etc/rsyslog.conf中不写rule

例如，

/etc/rsyslog.d/message.conf配置文件中内容如下：

auth.*                       @prep.ai.mit.edu
auth.*                       root,amrood
netinfo.err                  /var/log/netinfo.log
install.*                    /var/log/install.log
*.emerg                      *
*.alert                      |program_name

/etc/rsyslog.d/app.conf配置内容如下：

*.err;kern.debug;auth.notice /dev/console
daemon,auth.notice           /var/log/messages
lpr.info                     /var/log/lpr.log
mail.*                       /var/log/mail.log
ftp.*                        /var/log/ftp.log
mark.*                       /dev/console

/etc/rsyslog.d/comm.conf配置内容如下：

# 记录mail日志等级为error及以上日志
mail.err							/var/log/mail_err.log
# 记录mail所有等级为warn级别的日志（仅记录warn级别）
mail.=warn							/var/log/mail_err.log
# 记录kern所有日志
kern.*								/var/log/kern.log
# 将mail的所有信息，除了info以外，其他的都写入/var/adm/mail
mail.*;mail.!=info   /var/adm/mail
# 将日志等级为crit或更高的内核消息定向到远程主机finlandia
# 如果主机崩溃，磁盘出现不可修复的错误，可能无法读取存储的消息。如果有日志在远程主机上，可以尝试找出崩溃的原因。
kern.crit    						 @finlandia
# 记录所有类型的warning等级及以上日志
*.warning							/var/log/syslog_warn.log
# 记录mail的warning日志和kern的error日志,其他所有的info日志
*.info;mail.warning;kern.error		/var/log/messages
# 记录kernel的info到warning日志
kern.info;kern.!err   /var/adm/kernel-info
# 将mail和news的info级别日志写入/var/adminfo
mail,news.=info    /var/adm/info
# 将所有系统中所有类型的info日志和notice日志存入/var/log/massages,mail的所有日志除外。
*.=info;*.=notice;\
mail.none /var/log/messages
# 紧急消息（emerg级别）将使用wall显示给当前所有登录的用户
*.=emerg   		*
# 该规则将所有alert以及更高级别的消息定向到操作员的终端，即登录的用户“root”和“joey”的终端。
*.alert      root,joey

3、logger命令

Linux中的logger命令，处理系统日志的一个非常有用的命令。logger命令将日志消息发送到rsyslogd守护进程，从而引发系统日志记录。我们可以在任何时候从命令行检查syslogd守护进程及其配置。logger命令可以从命令行向系统日志文件添加一行日志规则。

语法如下：

logger [-i] [-f file] [-p priority] [-t tag] [message]...

选项说明：

 参考文档：Linux shell man命令查看帮助文档

4、常用日志文件位置

所有的系统应用程序都在/var/log及其子目录中创建日志文件。

例如：

5、logrotate日志分割

logrotate是一个日志文件管理工具。用于分割日志文件，防止单个文件占用空间太大，通常是删除旧的日志文件，并创建新的日志文件。可以节省磁盘空间。

logrotate 命令格式：

logrotate [OPTION...] <configfile>

选项说明：

例如，

/etc/logrotate.conf配置文件内容：

# 下面设定是 "logrotate 的默认值" ，如有另外文件设定了其他的值，
# 则就以其它文件的设定为主
weekly          //默认每一周执行一次rotate轮转工作
rotate 4       //保留多少个日志文件(轮转几次).默认保留四个.就是指定日志文件删除之前轮转的次数，0 指没有备份
create         //自动创建新的日志文件，新的日志文件具有和原来的文件相同的权限；因为日志被改名,因此要创建一个新的来继续存储之前的日志
dateext       //这个参数很重要！就是切割后的日志文件以当前日期为格式结尾，如xxx.log-20131216这样,如果注释掉,切割出来是按数字递增,即前面说的 xxx.log-1这种格式
compress      //是否通过gzip压缩转储以后的日志文件，如xxx.log-20131216.gz ；如果不需要压缩，注释掉就行
include /etc/logrotate.d
# 将 /etc/logrotate.d/ 目录中的所有文件都加载进来
/var/log/wtmp {                 //仅针对 /var/log/wtmp 所设定的参数
monthly                    //每月一次切割,取代默认的一周
minsize 1M              //文件大小超过 1M 后才会切割
create 0664 root utmp            //指定新建的日志文件权限以及所属用户和组
rotate 1                    //只保留一个日志.
}
# wtmp 可记录用户登录系统及系统重启的时间
# 配置中有minsize 的参数，要是文件大小没到设定值，可能不会每个月执行一次。