1.系统日至默认分类
| 命令 | 功能 |
|---|---|
| /var/log/messages | 系统服务及日志，包括服务的信息，报错等等 |
| /var/log/secure | 系统认证信息日志 |
| /var/log/maillog | 系统邮件服务信息 |
| /var/log/cron | 系统定时任务信息 |
| /var/log/boot.log | 系统启动信息 |
2.日志管理服务rsyslog
1.rsyslog负责采集日志和分类存放日志
2.rsyslog日志分类
vim /etc/rsyslog.conf ##主配置文件
格式：
日志设备（类型）.日志级别 /存放文件
*.* /var/log/westos
systemctl restart rsyslog ##重起服务
日志设备（日志类型）：
| auth | pam产生的日志 |
| authpriv | ssh,ftp等登录信息的验证信息 |
| cron | 时间任务相关 |
| kern | 内核 |
| lpr | 打印 |
| 邮件 | |
| mark(syslog)–rsyslog | 服务内部的信息,时间标识 |
| news | 新闻组 |
| user | 用户程序产生的相关信息 |
| uucp | unix to unix copy, unix主机之间相关的通讯 |
| local 1~7 | 自定义的日志设备 |
日志级别：
| debug | 有调试信息的，日志信息最多 |
| info | 一般信息的日志，最常用 |
| notice | 最具有重要性的普通条件的信息 |
| warning | 警告级别 |
| err | 错误级别，阻止某个功能或者模块不能正常工作信息 |
| crit | 严重级别，阻止整个系统或者整个软件不能正常工作的信息 |
| alert | 需要立刻修改的信息 |
| emerg | 内核崩溃等严重信息 |
| none | 什么都不记录 |
注意：从上到下，级别从低到高，记录的信息越来越少
详细的可以查看手册: man 3 syslog
链接符号
.xxx: 表示大于等于xxx级别的信息
.=xxx：表示等于xxx级别的信息
.!xxx：表示在xxx之外的等级的信息
3.日志同步
systemctl stop firewalld ##关闭两台主机的火墙
配置日志发送方
*.* @172.25.254.136 ##通过udp协议把日志发送到136主机，@udp，@@tcp
配置日志接受方
$ModLoad imudp ##日志接收插件
$UDPServerRun 514 ##日志接收插件使用端口
因为在服务端使用的是一个@符号，故使客户端的UDP日志接收插件等的注释去掉，即收发两方的协议必须相同
测试
> /var/log/messages ##两边都作
logger test messages ##日志发送方
cat /var/log/messages ##查看日志
tail -f /var/log/message ##日志接收方
若在使用查看日志时出现某一行出错，则将其文件删掉后重起
如50行出错
服务端清空日志，测试日志
客户端可以查看服务端日志
4.日志采集格式
$template WESTOS, "%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"
| %timegenerated% | 显示日志时间 |
| %FROMHOST-IP% | 显示主机ip |
| %syslogtag% | 日志记录目标 |
| %msg% | 日志内容 |
| \n | 换行 |
注：格式名称必须是大写， “参数”参数两边都有% 参数写在什么位置生成的日志对应参数就在相应的位置 不加换行不会自动换行
参数中间加的分隔符会显示到日志中 出现invalid property name报错是参数写错 在使用该格式的日志文件后加；和格式名称
如果是给别的主机发送就在接收方的/etc/rsyslog.conf下设置同样的格式即可， 否则发送的会以接收方的格式显示
即在哪查看以哪的标准显示
编辑服务端主文件
重起使用test2测试
客户端查看
发现文件的格式没有改变，因为只在服务端做了格式修改而在客户端没有修改
客户端做同样修改
再次查看发现格式改变
5.时间同步
编辑服务，设定时间源
重起服务
服务端关闭防火墙，防火墙不允许别的主机访问或向本机发送数据包
23行 把时间共享出去，允许谁去同步我的时间，allow 172.25.136/24 只要前三个数字相同就可以访问
30行 local stratum 10 表示时间源的级别，本机不同步任何主机的时间，本机作为时间源
客户端
vim /etc/chrony.conf
删掉原有的网址，设置服务端ip
访问端 只保留一行 server 后的是ip地址，iburst是指让更改立即生效
客户端测试：
<1>为了区别时间可以在客户端设置一个别的时间
<2>在未重启服务之前
chronyc sources -v查看当前的设置
<3>重启服务，再次查看，时间与服务端同步
timedatectl命令
| 命令 | 功能 |
|---|---|
| timedatectl status | 显示当前时间信息 |
| timedatectl set-time " " | 设置当前时间 |
| timedatectl set-timezone | 设定时区 |
| timedatectl set-local-rtc 0/1 | 设定是否使用utc时间 |
设置本地时间
查看时区
设置时间
设置时区‘
6.journal
journalctl ##日志查看工具
journalctl主要保证日志的时效性和详细性，保存，备份，以及定时删除日志不是他的特长，但是，他也可以实现
注：journalctl查到的是系统当前生成的日志；系统重启之后，内存断过电，保存的日志就会丢失，用journalct就查看不到日志；
而/var/log/messages文件里记录的是被采集过的日志，系统重启不影响其对日志的记录
| 命令 | 功能 |
|---|---|
| journalctl -n 3 | 查看最近3条日志 |
| journalctl -p err | 查看错误日志 |
| journalctl -o verbose | 查看日志的详细参数 |
| journalctl --since “时间点” | 查看从什么时间开始的日志 |
| journalctl --until “时间点” | 查看到什么时间为止的日志 |
| journalctl --since “时间点1” --until “时间点2” | 查看从时间点1到时间点2为止的所有日志 |
| journalctl _HOSTNAME=localhost | 查看主机名为localhost的主机的日志 |
使用systemd-journald保存系统日志
默认systemd-journald是不保存系统日志到硬盘的
那么关机后再次开机只能看到本次开机之后的日志
上次关机之前的日志是无法查看的
想要查看关机之前的日志，首先：
创建日志文件，改变其组，给特殊权限
重新加载systemd-journald进程配置
查看日志内容
发现文件中的内容是当前机器的机器id
重起虚拟机
查看历史记录
就可以保存08：24：59以前的内容