今天学习下Linux日志分析

一. 常见的日志文件

• /var/log/syslog：记录系统的通用日志信息，适用于大多数Linux发行版。
• /var/log/messages：记录系统的通用日志信息，通常在Red Hat系的发行版中使用。
• /var/log/auth.log：记录身份验证相关的日志信息，如登录尝试、sudo命令使用等。
• /var/log/kern.log：记录内核相关的日志信息。
• /var/log/dmesg：记录系统启动时的内核消息。
• /var/log/boot.log：记录系统启动过程中的消息。
• /var/log/cron.log：记录定时任务相关的日志信息。
• /var/log/mail.log：记录邮件系统相关的日志信息。
• /var/log/apache2/access.log和/var/log/apache2/error.log：记录Apache服务器的访问日志和错误日志。
• /var/log/nginx/access.log和/var/log/nginx/error.log：记录Nginx服务器的访问日志和错误日志。

1. cat

cat /var/log/syslog

less命令用于分页查看文件内容，可以方便地向上或向下滚动，适用于查看较长的日志文件。

示例：

less /var/log/syslog

tail -n 20 /var/log/syslogtail -f /var/log/syslog

4. head

head -n 20 /var/log/syslog

5. grep

grep命令用于在文件中搜索匹配特定模式的行，适用于从日志文件中提取特定信息。

示例：

grep "error" /var/log/sysloggrep -i "fail" /var/log/auth.log

选项-i表示忽略大小写。

6. awk

awk是一种强大的文本处理工具，适用于从日志文件中提取和处理结构化信息。

示例：

awk '{print $1, $2, $3}' /var/log/syslog

7.sed

sed是一种流编辑器，适用于对日志文件进行搜索、替换和过滤。

示例：

sed -n '/error/p' /var/log/syslog
上述命令显示包含“error”的行。
三、分析日志文件的工具
1.logrotate

/var/log/syslog {    daily    rotate 7    compress    missingok    notifempty}

上述配置表示对/var/log/syslog进行每日轮转，保留7个历史日志文件，并进行压缩。

2. journalctl

journalctl命令用于查看和分析systemd的日志信息。

示例：

journalctl -xejournalctl -u nginx.service

选项-xe用于显示最近的日志并详细解释错误，-u用于查看特定服务的日志。

sudo apt-get install logwatchsudo logwatch --detail High --mailto admin@example.com --service all --range today

上述命令生成详细的日志报告，并通过邮件发送给管理员。

sudo apt-get install goaccessgoaccess /var/log/nginx/access.log -o report.html --log-format=COMBINED
上述命令生成一份HTML格式的访问日志报告。