1. 常用日志
存放位置
/var/log形导，該目錄下目錄如下：
1.1 系統(tǒng)日志
./messages 沒有明確指明的日志
./secure 安全日志
./dmesg 系統(tǒng)開機(jī)相關(guān)日志
./audit/audit.log 審計(jì)日志
./yum.log yum日志
1.2 服務(wù)日志
如：./mysqld.log， ./httpd/access_log 聪全， ./httpd/error_log
1.2 二進(jìn)制日志
二進(jìn)制文件应结，只能用命令查看
1.2.1 ./wtmp
- 作用：查看當(dāng)前登錄用戶
- 查看：
[root@harbor ~]# w
22:25:17 up 39 days, 4:41, 1 user, load average: 0.00, 0.10, 0.11
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
root pts/0 10.10.222.191 22:20 5.00s 0.01s 0.00s w
1.2.2 ./btmp
- 作用：查看最近登錄的用戶
- 查看
[root@harbor ~]# last
root pts/0 10.10.222.191 Thu Jul 1 22:20 still logged in
root pts/1 10.10.222.191 Thu Jul 1 20:14 - 21:50 (01:35)
root pts/1 10.10.213.46 Wed Jun 16 16:14 - 16:16 (00:02)
root pts/1 10.10.222.191 Mon May 31 14:33 - 14:58 (00:24)
root pts/1 10.10.222.191 Sun May 30 21:16 - 21:31 (00:15)
1.2.3 ./last.log
- 作用：所有用戶最后一次登錄的情況
- 查看
[root@harbor ~]# lastlog
用戶名 端口 來自 最后登陸時(shí)間
root pts/0 10.10.222.191 四 7月 1 22:20:56 +0800 2021
bin **從未登錄過**
daemon **從未登錄過**
adm **從未登錄過**
lp **從未登錄過**
sync **從未登錄過**
2. rsyslog 系統(tǒng)
2.1 本地日志收集：
配置文件：
/etc/rsyslog.conf
infn;mail.none;authpriv.none;cron.none /var/log/messages
*.err;kern.debug;daemon.notice /var/adm/messages
# Thr authpriv file has restricted access.
authpriv.* /var/log/secure
# Log all the mail messages in one place.
mail.* -/var/log/maillog
# Log cron stuff
cron.* /var/log/cron
# Everybody gets emergency messages
*.emerg :omusrmsg:*
# Save news errors of level crit and higher in a special file.
uucp,news.crit /var/log/spooler
# Save boot messages also to boot.log
local7.* /var/log/boot.log
2.2 遠(yuǎn)程日志收集
2.2.1 日志服務(wù)器操作
-
打開接收功能
/etc/rsyslog.cof
#去掉注釋羹唠，打開tcp協(xié)議接收日志功能
$ModLoad imtcp
$InputTCPServerRun 514
#打開UDP協(xié)議接收日志功能
$ModLoad imudp
$UDPServerRun 514
- 重啟rsyslog，關(guān)閉防火墻。
2.2.2 客戶機(jī)
- 定義日志
#一個(gè)@表示UDP产镐，@@表示tcp
local7.* @@10.10.239.xxx:514
重啟rsyslog，關(guān)閉防火墻
測試：客戶機(jī)產(chǎn)生一條日志的方法
# logger -p local6.info -t "標(biāo)題" “內(nèi)容”
