linux日志文件用途及位置

登录文件

其实，可以说成是监控系统的记录，系统一举一动基本会记录下来。这样由于信息非常全面很重要，通常只有root 可以进行视察！通过登录文件（日志文件）可以根据屏幕上面的错误讯息与再配合登录文件的错误信息，几乎就可以解决大部分的Linux 问题！所以日志文件异常重要，作为一个合格的linux系统工程师，日志文件是必要熟练掌握的部分。

常见的几个登录文件有：

/var/log/secure：记录登入系统存取数据的文件，例如pop3, ssh, telnet, ftp 等都会被记录；

/var/log/wtmp：记录登入者的讯息数据，由于本文件已经被编码过，所以必须使用last指令来取出文件的内容；

/var/log/messages：尤为重要，几乎发生的错误讯息（或是重要信息）都会被记录在此；

/var/log/boot.log：记录开机或者是一些服务启动的时候，所显示的启动或关闭讯息；

/var/log/maillog 或/var/log/mail/*：纪录邮件存取或往来( sendmail 与pop3 )的使用者记录；

/var/log/cron：记录crontab 这个例行性服务的内容的。

/var/log/httpd, /var/log/news, /var/log/mysqld.log, /var/log/samba,

/var/log/procmail.log：分别是几个不同的网络服务的记录文件！

登录文件的纪录程序之一：syslogd

通常经过syslog 而记录下来的数据主要有：

事件发生的日期与时间；

发生此事件的主机名称；

启动此事件的服务名称(如samba, xinetd 等) 或函式名称(如libpam ..)；

该讯息数据内容

syslogd的daemon配置文件：/etc/syslog.conf

内容语法是这样的：

服务名称[.=!]讯息等级讯息记录的文件名或装置或主机

# 例如底下：

https://www.360docs.net/doc/fe5858020.html, /var/log/maillog_info

服务名称：该服务产生的讯息会被纪录的意思。syslog 认识的服务主要有底下这些：

auth, authpriv：主要与认证有关的机制，例如telnet, login, ssh 等需要认证的服务都是使用此一机制；

cron：例行性命令cron/at 等产生讯息记录的地方；

daemon：与各个daemon 有关的讯息；

kern：核心(kernel) 产生讯息的地方；

lpr：打印相关的讯息！

mail：只要与邮件收发有关的讯息纪录都属于这个；

news：与新闻群组服务器有关的东西；

syslog：syslogd 这支程序本身产生的信息啊！

user, uucp, local0 ~ local7：与Unix like 机器本身有关的一些讯息。

讯息等级

系统将讯息分为七个主要的等级，依序是由不重要排列到重要讯息等级：info：仅是一些基本的讯息说明而已；

notice：比info 还需要被注意到的一些信息内容；

warning 或warn：警示讯息，可能有问题，但是还不至于影响到某个daemon 运作。

err 或error ：一些重大的错误讯息，这就要去找原因了。

crit：比error 还要严重的错误信息，crit 是临界点(critical) 的缩写，已经很严重了！

alert：警告警告，已经很有问题的等级，比crit 还要严重！

emerg 或panic：疼痛等级，意指系统已经几乎要当机的状态！很严重的错误信息了。

除了这些有等级的讯息外，还有两个特殊的等级，那就是debug(错误侦测等级) 与none (不需登录等级) 两个，当要作一些错误侦测，或者是忽略掉某些服务的信息时，就用这俩！

在讯息等级之前还有[.=!] 的连结符号！他代表的意思是：

. ：代表比后面还要高的等级(含该等级)都被记录下来的意思，例如：https://www.360docs.net/doc/fe5858020.html, 代表只要是mail 的信息，而且该信息等级高于info (含info )时，就会被记录下来。

.=：代表所需要的等级就是后面接的等级而已！

.!：代表不等于。

日志文件记录的文件名或装置或主机常见的放置处：

文件的绝对路径：通常就是放在/var/log 里头的文件！

打印机或其它：例如/dev/lp0 这个打印机装置（即使被黑客可以删除掉日志文件，但是最终删除不了打印出来的日志信息）

使用者名称：显示给使用者！

远程主机：例如@https://www.360docs.net/doc/fe5858020.html,，要对方主机也能支持才行！

*：代表目前在线的所有人，类似wall 这个指令的意义！

看看在尚未开启网络服务的情况下来自Fedora Core Release 4 的相关资料[root@linux ~]# vi /etc/syslog.conf

#kern.* /dev/console

# 只要是kernel 产生的讯息，全部都送到console 去！默认是关闭的。

*.info;mail.none;authpriv.none;cron.none /var/log/messages

# 在已知各服务的讯息中，不要记录到这个文件中，把已知的服务记录到单独的日志文件中去，方便日后查询，否则messages这个文件就太混乱了。这个文件非常重要，所有未知的信息都会被记录在这个文件中，所以有问题，找这个文件就八九不离十了。

authpriv.* /var/log/secure

# 这个就是经过一些身份确认的行为之后，需要记录身份的文件。

mail.* -/var/log/maillog

# 只要跟mail 有关的（不论是pop3 还是sendmail ）都会被纪录到这个文件！

cron.* /var/log/cron

#例行性命令相关的。

*.emerg *

# 任何时候发生的警告讯息都会显示给在线的所有人！那个＊就是目前在线的所有人。

uucp,news.crit /var/log/spooler

# 记录新闻错误高于crit 的等级的信息，写入spooler 当中！

local7.* /var/log/boot.log

# 将开机的当中的讯息写入/var/log/boot.log 中！

每个版本的syslog.conf 差异是很大的，所以，每个登录文件记录的数据其实不很固定。

例：让所有的信息都额外写入到/var/log/admin.log！

[root@linux ~]# vi /etc/syslog.conf

*.info /var/log/admin.log 》》如果服务器硬盘容量够大，这么做也不失为一个良策。

[root@linux ~]# /etc/init.d/syslog restart

[root@linux ~]# ll /var/log/admin.log

-rw------- 1 root root 122 Oct 23 22:21 /var/log/admin.log 》》注意权限

一台主机管理多台主机登录文件

# 1. 先取得port number 的信息！

[root@linux ~]# grep 514 /etc/services

syslog 514/udp 》》syslog的固定端口

# 注意，/etc/services 里面必须要存在这一行才行，否则自行手写！

# 2. 修改syslogd 的启动配置文件

[root@linux ~]# vi /etc/sysconfig/syslog

#SYSLOGD_OPTIONS="-m 0" 改成底下这样子

SYSLOGD_OPTIONS="-m 0 -r"

# 3. 重新启动与观察syslogd ！

[root@linux ~]# /etc/init.d/syslog restart

[root@linux ~]# netstat -tlunp

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name

udp 0 0 0.0.0.0:514 0.0.0.0:* 24314/syslogd

Linux 主机已经可以接收来自其它主机的登录信息了！client 端的设定就简单了！只要指定某个信息传送到这部主机即可！比如，登录文件主机IP 为192.168.1.100 ，而client 端希望所有的数据都送给主机，可以在

/etc/syslog.conf 里面新增这样的一行：

[root@linux ~]# vi /etc/syslog.conf

*.* @192.168.1.100

未来主机上面的登录文件当中，每一行的主机名称就会显示来自不同主机的信息了。

登录文件服务程序之二，轮滚(logrotate)：

所谓的logrotate ，就是将旧的log 文件更名，然后建立一个空的log 文件，如此一来，新的log 文件将从零开始记录，然后只要将旧的log 文件留下一段时间！旧的纪录保存了一段时间没有问题，那么就可以让系统自动的将他删掉，否则占用硬盘空间。如图比如规定了message日志文件轮滚3次：

最初的日志文件message

轮滚一次后message message1

轮滚二次后message message1message2

轮滚三次后message message1 message2 message3 》》删除（如果再次轮滚，message3就会被删除，而message2就会变成message3，且系统会新建立一个message）

注意，相同颜色的mssage表示的是一个内容的文件，只不过每次轮滚他的名字后面会改一次数字。

logrotate 的配置文件

/etc/logrotate.conf

/etc/logrotate.d/

注意！logrotate.conf 才是主要的参数文件，logrotate.d 是一个目录，该目录里面的所有文件都会被主动的读入/etc/logrotate.conf 当中来进行！另外，在

/etc/logrotate.d/ 里面的文件中，如果没有规定到的一些细部设定，则以

/etc/logrotate.conf 的规定来指定为默认值！

[root@linux ~]# vi /etc/logrotate.conf

# 底下是"logrotate 的预设值，如果个别的文件设定了其它的参数，那么将以个别的文件设定为主，若该文件没有设定到的参数，则以这个档案的内容为默认值！

Weekly 》》预设每个礼拜对登录文件进行一次rotate 的工作

rotate 4 》》保留四个登录文件！

create 》》是否建立新的登录文件来记录！

#compress 》》rotate 之后的登录文件，是否压缩，通常是不要压缩啦，压缩登录文件扩展名会变成messages.1.gz ！系统负载不大，且日志比较大，可以考虑压缩。

include /etc/logrotate.d 》》将底下这个目录中的所有文件都读进来执行rotate 的工作！

/var/log/wtmp {

monthly

create 0664 root utmp

rotate 1

}

。。。省略。。。

# 在logrotate.conf 文件当中，只有这个数据是在记载如何对登录文件进行轮替的！这个登录文件记载的就是使用login 登入系统时的使用者状态，last就是读自/var/log/wtmp 当中记录的数据！整个段落的意义是：

# 1. 每个月进行一次log rotate 的工作；

# 2. 将文件的权限设定为664 ，且拥有者为root ，群组为utmp；

# 3. 仅保存前一个月的rotate 备份！可以修改大一点

[root@linux ~]# vi /etc/logrotate.d/syslog

/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler

/var/log/boot.log /var/log/cron {

sharedscripts

postrotate

/bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true

endscript

}

设定的项目与前面提到的相同，并且可加入轮替前(pre) 与后(post) 的一些特殊执行的指令！这个设定需与sharedscripts .... endscript 设定合用才行；prerotate：启动logrotate 之前进行的指令，例如修改登录文件的属性等动作；postrotate：做完logrotate 之后启动的指令，例如重新启动(kill -1 或kill -HUP) 某个服务！

这一段设定值说明的是：『/var/log 目录内的messages, secure, mailog, spooler, boot.log 及cron 这六个文件，每个礼拜进行一次轮替，且保留四个登录档，此外，在轮替进行完毕之后，执行syslog 的重新启动』因为没有提到该设定项目，所以就用/etc/logrotate.conf 内的默认值来作用

解决charrt+a与lorotate矛盾的方法：

矛盾处：a属性会让文件只能添加数据，不能修改文件名，不能删除（防止日志文件被入侵，被恶意删除），而lorotate需要修改文件的文件名。

解决办法就是利用prerotate 与postrotate 来进行登录文件轮替前、后所需要作的动作！可以这样修改一下这个文件！

[root@linux ~]# vi /etc/logrotate.d/syslog

/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler

/var/log/boot.log /var/log/cron {

sharedscripts

prerotate

/usr/bin/chattr -a /var/log/messages

endscript

sharedscripts

postrotate

/bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true

/usr/bin/chattr +a /var/log/messages

endscript

}

特别留意，/bin/kill -HUP ...这一行的目的在于将系统的syslogd重新以其参数( syslog.conf )的资料读入一次！也可以想成是reload 的意思！由于建立了一个新的空的纪录文件，如果不执行此一行来重新启动服务，那么记录的时候将会发生错误！另外注意颜色字体部分格式，需要配套书写。

实际测试logrotate 的动作

[root@linux ~]# logrotate [-vf] logfile

参数：

-v ：启动显示模式，会显示logrotate 运作的过程喔！

-f ：不论是否符合设定文件的数据，强制每个登录文件都进行rotate 的动作！

例：强制进行logrotate 的动作

[root@linux ~]# logrotate -vf /etc/logrotate.conf

#此命令属于企业危险命令，因为旧的日志对企业安全有很大作用，如果强行轮滚，造成提前删除旧日志文件，可能会有麻烦，所以不要乱用！预设的logrotate 的执行时间就是放在/etc/cron.daily/logrotate 里面的！由于logrotate 的工作已经加入crontab 里了！所以现在每天系统都会自动的查看logrotate ！

案例：建立了/var/log/admin.log，想要加上+a属性，要求：

登录文件轮替一个月进行一次；

该登录文件若大于10MB 时，则主动进行轮替，不需要考虑一个月的期限；

保存五个备份文件；

备份文件不要压缩

[root@linux ~]# chattr +a /var/log/admin.log

[root@linux ~]# lsattr /var/log/admin.log

-----a------- /var/log/admin.log

[root@linux ~]# mv /var/log/admin.log /var/log/admin.log.1

mv: cannot move '/var/log/admin.log' to '/var/log/admin.log.1':permission deny [root@linux ~]# vi /etc/logrotate.d/admin

# This configuration is from lonogo 2009/6/26

/var/log/admin.log {

monthly

size=10M

rotate 5

nocompress

sharedscripts

prerotate

/usr/bin/chattr -a /var/log/admin.log

endscript

sharedscripts

postrotate

/usr/bin/killall -HUP syslogd

/usr/bin/chattr +a /var/log/admin.log

endscript

}

[root@linux ~]# logrotate -v /etc/logrotate.conf

。。省略。。

[root@linux ~]# logrotate -vf /etc/logrotate.d/admin 》》强行滚一下....省略....

[root@linux ~]# lsattr /var/log/admin.log* 》》看看滚后的文件的权限变化了-----a------- /var/log/admin.log

------------- /var/log/admin.log.1

注意，/etc/syslog.conf 与/etc/logrotate.d/*通常是配合使用，目录下的.d目录下的文件未提及的设置，会参考助.conf配置文件的设置。

分析登录文件

dmesg

[root@linux ~]# dmesg | more

由于系统在开机的过程当中尚未将硬盘mount 上来，所以无法直接将数据直

接读到log file 当中去，但是为了除错上面的方便，所以在开机的过程当中的

讯息还是要记录下来，这个时候系统就将ram 开了一个小区块来储存这个数据！这个开机记录文件就是：/proc/kmsg！

几乎所有的核心信息都可以使用dmesg 来查阅得到的，例想要知道开机有没有捉到网卡，dmesg | grep 'eth' ！

last

[root@linux ~]# last -n number

[root@linux ~]# last -f filename

参数：

-n ：last 会读出这个月的数据，若数据量太大，可使用-n 来严格要求显示的笔数。例如20 笔数据：last -n 20 或last -20 均可。

-f ：last预设读出/var/log/wtmp，但是我们可以透过-f 读取不同的登录文件

信息！

例,将上个月的资料读出，仅读出5笔资料

[root@linux ~]# last -n 5 -f /var/log/wtmp.1

dmtsai2 pts/2 Mon Oct 24 14:18 - 14:18 (00:00)

dmtsai2 work:0 work Mon Oct 24 14:18 gone - no logout

dmtsai2 work:0 work Mon Oct 24 14:18 - 14:18 (00:00)

dmtsai2 pts/2 Mon Oct 24 14:18 - 14:18 (00:00)

dmtsai2 work:0 work Mon Oct 24 14:18 - 14:18 (00:00)

[root@linux ~]# lastlog

lastlog 只是读出/var/log/lastlog 内的信息. 他会显示目前系统上面的所有账

号当中，每个账号最近一次登入的时间！