：Linux 系统日志管理日志转储

Linux日志服务器设置

使用“@IP：端口”或“@@IP：端口”的格式可以把日志发送到远程主机上。

假设需要管理几十台服务器，每天的重要工作就是查看这些服务器的日志，可是每台服务器单独登录，并且查看日志非常烦琐，此时可以把几十台服务器的日志集中到一台日志服务器上吗？这样每天只要登录这台日志服务器，就可以查看所有服务器的日志，。

设置过程

假设服务器端的服务器 IP 地址是 192.168.0.210，主机名是 localhost.localdomain；客户端的服务器 IP 地址是 192.168.0.211，主机名是 www1。我们现在要做的是把 192.168.0.211 的日志保存在 192.168.0.210 这台服务器上。实验过程如下：

#服务器端设定（192.168.0.210）：

[root@localhost ~]# vi /etc/rsyslog.conf

…省略部分输出…

# Provides TCP syslog reception

$ModLoad imtcp

$InputTCPServerRun

#取消这两句话的注释，允许服务器使用TCP 514端口接收日志

…省略部分输出…

[root@localhost ~]# service rsyslog restart

#重启rsyslog日志服务

[root@localhost ~]# netstat -tlun | grep

tcp   0.0.0.0： 0.0.0.0：* LISTEN

#查看514端口已经打开

#客户端设置（192.168.0.211）：

[root@www1 ~]# vi /etc/rsyslog.conf

#修改日志服务配置文件

*.* @@192.168.0.210：

#把所有日志采用TCP协议发送到192.168.0.210的514端口上

[root@www1 ~]# service rsyslog restart

#重启日志服务

这样日志服务器和客户端就搭建完成了，以后 192.168.0.211 这台客户机上所产生的所有日志都会记录到 192.168.0.210 上。比如：

#在客户机上(192.168.0.211)

[root@wwwl ~]# useradd zhangsan

#添加zhansan用户提示符的主机名是www1)

#在限务器(192.168.0.210)上

[root@localhost ~]# vi /var/log/secure

#査看服务器的secure日志(注意:主机名是localhost)

Aug  :: wwwl sshd【]: Server listening on 0.0.0.0 port .

Aug  :: wwwl sshd[]: Server listening on :: port .

Aug  :: wwwl sshd[]: Accepted password for root from 192.168.0.101 port  ssh2

Aug  :: wwwl sshd[]: pam_unix(sshd:session): session opened for user root by (uid=)

Aug  :: wwwl useradd[]: new group: name=zhangsan, GID-

Aug  :: wwwl useradd[]: new user: name=zhangsan, UXD=, GID=,

home=/home/zhangsan, shell=/bin/bash

Aug  :: wwwl passwd: pam_unix(passwd:chauthtok): password changed for zhangsan

#注意：查看到的日志内容的主机名是www1，说明我们虽然查看的是服务器的日志文件，但是在其中可以看到客户机的日志内容

需要注意的是，日志服务是通过主机名来区别不同的服务器的。所以，如果配置了日志服务，则需要给所有的服务器分配不同的主机名。

Linux日志轮替（日志转储）

日志记录和保存了系统中所有的重要事件。但是日志文件也需要进行定期的维护，因为日志文件是不断增长的，如果完全不进行日志维护，而任由其随意递增，那么用不了多久硬盘就会被写满。

日志维护的最主要的工作就是把旧的日志文件删除，从而腾出空间保存新的日志文件。 Linux 系统使用logrotate 来进行日志轮替（也叫日志转储）的，也就是把旧的日志文件移动并改名，同时创建一个新的空日志文件用来记录新日志，当旧日志文件超出保存的范围时就删除。

日志文件的命名规则

日志轮替最主要的作用就是把旧的日志文件移动并改名，同时建立新的空日志文件，当旧日志文件超出保存的范围时就删除。那么，旧的日志文件改名之后，如何命名呢？主要依靠 /etc/logrotate.conf 配置文件中的“dateext”参数。

如果配置文件中有“dateext”参数，那么日志会用日期来作为日志文件的后缀，如“secure-20130605”。这样日志文件名不会重叠，也就不需要对日志文件进行改名，只需要保存指定的日志个数，删除多余的日志文件即可。

如果配置文件中没有“dateext”参数，那么日志文件就需要进行改名了。当第一次进行日志轮替时，当前的“secure”日志会自动改名为“secure.1”，然后新建“secure”日志，用来保存新的日志；当第二次进行日志轮替时，“secure.1”会自动改名为“secure.2”，当前的“secure”日志会自动改名为“secure.1”，然后也会新建“secure”日志，用来保存新的日志；以此类推。

logrotate配置文件

我们来查看一下 logrotate 的配置文件 /etc/logrotate.conf 的默认内容。

[root@localhost ~]# vi /etc/logrotate.conf

#see "man logrotate" for details

#rotate log files weekly

weekly

#每周对日志文件进行一次轮替

#keep  weeks worth of backlogs rotate

#保存4个日志文件,也就是说,如果进行了5次日志轮替，就会删除第一个备份曰志

#create new (empty) log files after rotating old ones create

#在日志轮替时,自动创建新的日志文件

#use date as a suffix of the rotated file dateext

#使用日期作为日志轮替文件的后缀

#uncomment this if you want your log files compressed #compress

#日志文件是否压缩。如果取消注释,则日志会在转储的同时进行压缩

#以上日志配置为默认配置,如果需要轮替的日志没有设定独立的参数,那么都会遵循以上参数

#如果轮替曰志配置了独立参数,那么独立参数的优先级更高

#RPM packages drop log rotation information into this directory include /etc/logrotate.d

#包含/etc/logrotate.d/目录中所有的子配置文件。也就是说,会把这个目录中所有的子配置文件读取进来，进行日志轮替

#no packages own wtmp and btmp -- we'11 rotate them here

#以下两个轮替曰志有自己的独立参数，如果和默认的参数冲突，则独立参数生效

/var/log/wtmp {

#以下参数仅对此目录有效

monthly

#每月对日志文件进行一次轮替

create  root utmp

#建立的新日志文件,权限是0664,所有者是root,所属组是utmp组

minsize 1M

#日志文件最小轮替大小是1MB。也就是日志一定要超过1MB才会轮替，否则就算时间达到一个月，也不进行曰志轮替

rotate

#仅保留一个曰志备份。也就是只保留wtmp和wtmp.1曰志)

/var/log/btmp {

#以下参数只对/var/log/btmp生效

missingok

#如果日志不存在,则忽略该日志的警告信患

monthly

create  root utmp

rotate

}

# system-specific logs may be also be configured here.

在这个配置文件中，主要分为三部分：

第一部分是默认设置，如果需要转储的日志文件没有特殊配置，则遵循默认设置的参数；
第二部分是读取 /etc/logrotate.d/ 目录中的日志轮替的子配置文件，也就是说，在 /etc/logrotate.d/ 目录中的所有符合语法规则的子配置文件也会进行日志轮替；
第三部分是对 wtmp 和 btmp 日志文件的轮替进行设定，如果此设定和默认参数冲突，则当前设定生效（如 wtmp 的当前参数设定的轮替时间是每月，而默认参数的轮替时间是每周，则对 wtmp 这个日志文件来说，轮替时间是每月，当前的设定参数生效）。

logrotate 配置文件的主要参数如表 1 所示。

参致	参数说明
daily	日志的轮替周期是毎天
weekly	日志的轮替周期是每周
monthly	日志的轮控周期是每月
rotate数宇	保留的日志文件的个数。0指没有备份
compress	当进行日志轮替时，对旧的日志进行压缩
create mode owner group	建立新日志，同时指定新日志的权限与所有者和所属组.如create 0600 root utmp
mail address	当进行日志轮替时.输出内存通过邮件发送到指定的邮件地址
missingok	如果日志不存在，则忽略该日志的警告信息
nolifempty	如果曰志为空文件，則不进行日志轮替
minsize 大小	日志轮替的最小值。也就是日志一定要达到这个最小值才会进行轮持，否则就算时间达到也不进行轮替
size大小	日志只有大于指定大小才进行日志轮替，而不是按照时间轮替，如size 100k
dateext	使用日期作为日志轮替文件的后缀，如secure-20130605
sharedscripts	在此关键宇之后的脚本只执行一次
prerotate/cndscript	在曰志轮替之前执行脚本命令。endscript标识prerotate脚本结束
postrolaie/endscripl	在日志轮替之后执行脚本命令。endscripi标识postrotate脚本结束

这些参数中较为难理解的应该是 prerotate/endscript 和 postrotate/endscript，我们利用“man logrotate”中的例子来解释一下这两个参数。例如：

"/var/log/httpd/access.log" /var/log/httpd/error.log {

#日志轮替的是/var/log/httpd/中RPM包默认安装的apache正确访问日志和错误日志

    rotate

    #轮替5次

    mail www@my.org

    #把信息发送到指定邮箱

    size 100k

    #日志大于100KB时才进行日志轮替,不再按照时间轮替

    sharedscripts

    #以下脚本只执行一次

    postrotate

    #在日志轮替结束之后,执行以下脚本

    /usr/bin/killall -HUP httpd

    #重启apache 服务

endscript

#脚本结束

}

prerotate 和 postrotate 主要用于在日志轮替的同时执行指定的脚本，一般用于日志轮替之后重启服务。这里强调一下，如果你的日志是写入 rsyslog 服务的配置文件的，那么把新日志加入 logrotate 后，一定要重启 rsyslog 服务，否则你会发现，虽然新日志建立了，但数据还是写入了旧的日志当中。那是因为虽然 logrotate 知道日志轮替了，但是 rsyslog 服务并不知道。

同理，如果采用源码包安装了 apache、Nginx 等服务，则需要重启 apache 或 Nginx 服务，同时还要重启 rsyslog 服务，否则日志也不能正常轮替。

不过，这里有一个典型应用就是给予特定的日志加入 chattr 的 a 属性。如果系统文件加入了 a 属性，那么这个文件就只能增加数据，而不能删除和修改已有的数据，root 用户也不例外。

因此，我们会给重要的日志文件加入 a 属性，这样就可以保护日志文件不被恶意修改。不过，一旦加入了 a 属性，那么在进行日志轮替时，这个日志文件是不能被改名的，当然也就不能进行日志轮替了。我们可以利用 prerotate 和 postrotate 参数来修改日志文件的 chattr 的 a 属性。

把自己的日志加入日志轮替

如果有些日志默认没有加入日志轮替（比如源码包安装的服务的日志，或者自己添加的日志），那么这些日志默认是不会进行日志轮替的，这样当然不符合我们对日志的管理要求。如果需要把这些日志也加入日志轮替，那该如何操作呢？

这里有两种方法：

第一种方法是直接在 /etc/logrotate.conf 配置文件中写入该日志的轮替策略，从而把日志加入轮替；
第二种方法是在 /etc/logrotate.d/ 目录中新建立该日志的轮替文件，在该轮替文件中写入正确的轮替策略，因为该目录中的文件都会被包含到主配置文件中，所以也可以把日志加入轮替。

推荐第二种方法，因为系统中需要轮替的日志非常多，如果全部直接写入 /etc/logrotate.conf 配置文件，那么这个文件的可管理性就会非常差，不利于此文件的维护。

说起来很复杂，我们举个例子。还记得我们自己生成的 /var/log/alert.log 日志吗？这个日志不是系统默认日志，而是我们通过 /etc/rsyslog.conf 配置文件自己生成的日志，所以默认这个日志是不会进行轮替的。如果我们需要把这个日志加入日志轮替策略，那该怎么实现呢？我们采用第二种方法，也就是在 /etc/logrotate.d/ 目录中建立此日志的轮替文件。

具体步骤如下：

[root@localhost ~]# chattr +a /var/log/alert.log #先给日志文件赋予chattr的a属性，保证日志的安全

[root@localhost ~]# vi /etc/logrotate.d/alter

#创建alter轮替文件,把/var/log/alert.log加入轮替

/var/log/alert.log {

    weekly

    #每周轮替一次

    rotate

    #保留6个轮替曰志

    sharedscripts

    #以下命令只执行一次

    prerotate

    #在日志轮替之前执行

        /usr/bin/chattr -a /var/log/alert.log

        #在日志轮替之前取消a属性,以便让日志可以轮替

    endscript

    #脚本结朿

    sharedscripts

    postrotate

    #在日志轮替之后执行

        /usr/bin/chattr +a /var/log/alert.log

        #在日志轮替之后,重新加入a属性

    endscript

    sharedscripts

    postrotate

    /bin/kill -HUP $(/bin/cat /var/run/syslogd.pid >/dev/null) fi>/dev/null

    endscript

    #重启rsyslog服务，保证日志轮替正常进行

}

这样我们自己生成的日志 /var/log/alert.log 也就可以进行日志轮替了，当然这些配置信息也是可以直接写入 /etc/logrotate.conf 这个配置文件的。

logrotate命令：进行日志转储（轮替）

日志轮替之所以可以在指定的时间备份日志，是因为其依赖系统定时任务。如果大家还记得 /etc/cron.daily/ 目录，就会发现这个目录中是有 logrotate 文件的，查看一下这个文件，命令如下：

[root@localhost ~]# vi /etc/cron.daily/logrotate

#！/bin/sh

/usr/sbin/logrotate /etc/logrotate.conf >/dev/null >&

#最主要的就是执行了logrotate命令

EXITVALUE=$?

if [ $EXITVALUE！=  ]; then

/usr/bin/logger -t logrotate "ALERT exited abnormally with [$EXITVALUE]"

fi

exit

系统每天都会执行 /etc/cron.daily/logrotate 文件，运行这个文件中的“/usr/sbin/logrotate/etc/logrotate.conf>/dev/null 2>&1”命令。logrotate 命令会依据 /etc/logrotate.conf 配置文件的配置，来判断配置文件中的日志是否符合日志轮替的条件（比如，日志备份时间已经满一周），如果符合，日志就会进行轮替。所以说，日志轮替还是由 crond 服务发起的。

logrotate 命令的格式：

[root@localhost ~]# logrotate [选项] 配置文件名

[选项]：

如果此命令没有选项，则会按照配置文件中的条件进行日志轮替
-v：显示日志轮替过程。加入了-v选项，会显示日志的轮替过程
-f：强制进行日志轮替。不管日志轮替的条件是否符合，强制配置文件中所有的日志进行轮替

执行 logrotate 命令，并查看一下执行过程。

[root@localhost ~]# logrotate -v /etc/logrotate.conf

#查看日志轮替的流程

…省略部分输出…

rotating pattern：/var/log/alert.log weekly ( rotations)

#这就是我们自己加入轮替的alert.log日志

empty log files are rotated， old logs are removed

considering log /var/log/alert.log

log does not need rotating

#时间不够一周，所以不进行日志轮替

…省略部分输出…

此时 /var/log/alert.log 加入了日志轮替，已经被 logrotate 识别并调用了，只是时间没有达到轮替的标准，所以没有进行轮替。那我们强制进行一次日志轮替，看看会有什么结果。

[root@localhost ~]# logrotate -vf /etc/logrotate.conf

#强制进行日志轮替，不管是否符合轮替条件

…省略部分输出…

rotating pattern：/var/log/alert.log forced from command line ( rotations)

empty log files are rotated， old logs are removed

considering log /var/log/alert.log

log needs rotating

#日志需要轮替

rotating log /var/log/alert.log，log->rotateCount is

dateext suffix '-20130607'

#提取日期参数

glob pattern '-[0-9][0-9][0-9][0-9][0-9][0-9][0-9][0-9]'

glob finding old rotated logs failed

running prerotate script

fscreate context set to unconfined_u：object_r：var_log_t：s0

renaming /var/log/alert.log to /var/log/alert.log-

#旧的日志被重命名

creating new /var/log/alert.log mode =  uid =  gid =

#创建新日志文件，同时指定权限、所有者和属组

running postrotate script

…省略部分输出…

我们发现，alert.log 日志已经完成了日志轮替。查看一下新生成的日志和旧日志，如下：

[root@localhost ~]# ll /var/log/alert.log*

-rw-------. root root  6月  ： /var/log/alert.log

-rw-------. root root  6月  ： /var/log/alert.log-

#旧的日志文件已经轮替

新的日志文件被自动加入了chattr的a属性

[root@localhost ~]# lsattr /var/log/alert.log

-----a-------e- /var/log/alert.log

logrotate 命令在使用“-f”选项之后，就会不管日志是否符合轮替条件，而强制把所有的日志都进行轮替。