原创|NO.A.0015|——|Linux|系统管理|日志管理|日志服务|日志轮替|定义自己的日志|把自己的日志加入日志轮替|

#重要日志目录
/var/log/message                                    #记录重要信息的日志
/var/log/rsyslog.conf                               #日志记录


#日志等级
// 等级低：只要发生变化都会记录；危险小，产生的消息多。
// 等级高：达到告警级别才会记录；危险高，产生的消息少。


// 日志切割：把大的日志按照固定规则分成小的日志，一般按天，第一天写个日志，第二天再写另一个日志，以此类推，量不大，处理的时候，很快就能找到这一天，马上就可以找到那一天，而不需要其他日志来干扰
// 日志轮替：如果从一开始的所有记录都记录在一个文件中，势必会造成读写变慢、占用增加，甚至增加由于单个文件损坏导致所有日志丢失的风险。为了解决这个问题，Linux系统采用日志轮替方式，将一段时间以前的记录切割打包到另外的存档文件中，而主日志文件从全新重新开始记录。
#Apache日志切割轮替建议
// 比如apache日志切割推荐使用系统自带的日志切割/etc/logrotate.conf；不要使用apache自带的日志切割工具。
// apache自带的日志切割工具只有切割功能，没有日志轮替功能;需要人为的删除之前的日志，而系统自带的日志切割工具具有该功能。

[root@server11 ~]# cat /var/log/messages                  #重要系统日志，一般系统查看日志，查看该日志

[root@server11 ~]# vim /etc/rsyslog.conf 
authpriv.*                                              /var/log/secure
// 服务名称[连接符号]日志等级
// 认证相关服务.所有日志等级
// 日志记录位置
// 记录在/var/log/secure 日志中

// 日志服务[连接符号]日志等级
// 在这里连接符号可以识别为：
// 日志记录位置
// “.”代表只要比后面的等级高的（包含该等级）日志都记录下来。比如：“cron.info”代表 cron 服务产生的日志，只要日志等级大于等于 info 级别，就记录
// “.=”代表只记录所需等级的日志，其他等级的都不记录。比如：“*.=emerg”代表任何日志服务产生的日志，只要等级是 emerg 等级就记录。这种用法及少见，了解就好
// “.!”代表不等于，也就是除了该等级的日志外，其他等级的日志都记录。

[root@localhost ~]# vi /etc/rsyslog.conf
// 查看配置文件的内容
// rsyslog v5 configuration file
// For more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html
// If you experience problems, see http://www.rsyslog.com/doc/troubleshoot.html
#### MODULES ####
// 加载模块
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
// 加载 imuxsock 模块，为本地系统登录提供支持
$ModLoad imklog
// provides kernel logging support (previously done by rklogd)
// 加载 imklog 模块，为内核登录提供支持
// $ModLoad immark # provides --MARK-- message capability
// 加载immark 模块，提供标记信息的能力
// Provides UDP syslog reception
// $ModLoad imudp
// $UDPServerRun 514
// 加载 UPD 模块，允许使用 UDP 的 514 端口接收采用 UDP 协议转发的日志
//  Provides TCP syslog reception
// $ModLoad imtcp
// $InputTCPServerRun 514
// 加载 TCP 模块，允许使用 TCP 的 514 端口接收采用 TCP 协议转发的日志
#### GLOBAL DIRECTIVES ####
// 定义全局设置
// Use default timestamp format
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
// 定义日志的时间使用默认的时间戳格式
// File syncing capability is disabled by default. This feature is usually not required,
// not useful and an extreme performance hit
// $ActionFileEnableSync on
// 文件同步功能。默认没有开启，是注释的。
//  Include all config files in /etc/rsyslog.d/
$IncludeConfig /etc/rsyslog.d#/*.conf
// 包含/etc/rsyslog.d/目录中所有的“.conf”子配置文件。也就是说这个目录中的所有
// 子配置文件也同时生效。
#### RULES ####
// 日志文件保存规则
// Log all kernel messages to the console.
// Logging much else clutters up the screen.
// kern.*              /dev/console
// kern 服务.所有日志级别      保存在/dev/console
// 这个日志默认没有开启，如果需要，则取消注释
// Log anything (except mail) of level info or higher.
// Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none    /var/log/messages
// 所有服务.info 以上级别的日志保存在/var/log/messages 日志中。
// mail，authpriv，cron 的日志不记录在/var/log/messages 日志文件中，因为它们都有自己的日志文件。
// 所以/var/log/messages 日志是最重要的系统日志文件，需要经常查看！
// The authpriv file has restricted access.
authpriv.*                /var/log/secure
// 用户认证服务所有级别的日志保存在/var/log/secure 日志中
# Log all the mail messages in one place.
mail.*                  -/var/log/maillog
// mail 服务的所有级别的日志保存在/var/log/maillog 日志中。
// “-”号的含义是日志先在内存之中保存，当日志够多之后，再向文件中保存。
//  Log cron stuff
cron.*          /var/log/cron
// 计划任务的所有日志保存在/var/log/cron 日志中
//  Everybody gets emergency messages
*.emerg            *
// 所有日志服务的疼痛等级日志对所有在线用户广播。
// Save news errors of level crit and higher in a special file.
uucp,news.crit                      /var/log/spooler
// ucp 和 news 日志服务的 crit 以上的日志保存在/var/log/sppoler 日志文件中。
//  Save boot messages also to boot.log
local7.*        /var/log/boot.log
// loacl7 日志服务的所有日志写入/var/log/boot.log 日志中。
// 会把开机时的检测信息在显示到屏幕的同时，写入/var/log/boot.log 日志中
# ### begin forwarding rule ###
// 定义转发规则
The statement between the begin ... end define a SINGLE forwarding
rule. They belong together, do NOT split them. If you create multiple
forwarding rules, duplicate the whole block!
Remote Logging (we use TCP for reliable delivery)


An on-disk queue is created for this action. If the remote host is
down, messages are spooled to disk and sent when it is up again.
$WorkDirectory /var/lib/rsyslog # where to place spool files
$ActionQueueFileName fwdRule1 # unique name prefix for spool files
$ActionQueueMaxDiskSpace 1g # 1gb space limit (use as much as possible)
$ActionQueueSaveOnShutdown on # save messages to disk on shutdown
$ActionQueueType LinkedList # run asynchronously
$ActionResumeRetryCount -1
infinite retries if host is down
remote host is: name/ip:port, e.g. 192.168.0.1:514, port optional
*.* @@remote-host:514
### end of the forwarding rule ##

[root@server11 ~]# vim /etc/rsyslog.conf
// 写入一下一句话
*.crit      /var/log/alert.log
// 把所有服务的“临界点”以上的错误都保存在/var/log/alert.log 日志中
[root@server11 ~]# systemctl restart rsyslog.service 
// 关闭系统日志记录器：[确定]
// 启动系统日志记录器：[确定]
// 重启 rsyslog 服务
[root@server11 ~]# ll /var/log/alert.log 
-rw------- 1 root root 0 Feb  4 13:40 /var/log/alert.log
// alert.log 日志就生成了

[root@server11 ~]# vim /etc/rsyslog.conf 
see "man logrotate" for details
rotate log files weekly
weekly
#每周对日志文件进行一次轮替
keep 4 weeks worth of backlogs
rotate 4
// 保存 4 个日志文件，也就是说如果进行了 5 次日志轮替，就会删除第一个备份日志
create new (empty) log files after rotating old ones
create
#在日志轮替时，自动创建新的日志文件
use date as a suffix of the rotated file
dateext
#使用日期作为日志轮替文件的后缀
uncomment this if you want your log files compressed
compress
# 日志文件是否压缩。如果取消注释，则日志会在转储的同时进行压缩
// 以上日志日志配置为默认配置，如果需要轮替的日志没有设定独立的参数，那么都会遵守以上参数。
// 如果轮替日志配置了独立参数，那么独立参数优先级更高。
RPM packages drop log rotation information into this directory
include /etc/logrotate.d
# 包含/etc/logrotate.d/目录中所有的子配置文件。也就是说会把这个目录中所有子配置文件读取进来，
// 进行日志轮替。
no packages own wtmp and btmp -- we'll rotate them here
// 以下两个轮替日志有自己的独立参数，如果和默认的参数冲突，则独立参数生效。
/var/log/wtmp {
# 以下参数仅对此目录有效
monthly
#每月对日志文件进行一次轮替
create 0664 root utmp
# 建立的新日志文件，权限是 0664，所有者是 root，所属组是 utmp 组
minsize 1M
# 日志文件最小轮替大小是 1MB。也就是日志一定要超过 1MB 才会轮替，否则就算
# 时间达到一个月，也不进行日志转储
rotate 1
# 仅保留一个日志备份。也就是只有 wtmp 和 wtmp.1 日志保留而已
}
/var/log/btmp {
// 以下参数只对/var/log/btmp 生效
missingok
// 如果日志不存在，则忽略该日志的警告信息
monthly
create 0600 root utmp
rotate 1
}
system-specific logs may be also be configured here.
#记录日志的位置
[root@server21 ~]# cat /etc/logrotate.d/syslog 
/var/log/cron
/var/log/maillog
/var/log/messages
/var/log/secure
/var/log/spooler
{
    sharedscripts
    postrotate
  /bin/kill -HUP `cat /var/run/syslogd.pid 2> /dev/null` 2> /dev/null || true
    endscript
}

"/var/log/httpd/access.log" /var/log/httpd/error.log {
// 日志轮替的是/var/log/httpd/中 RPM 包安装的 apache 正确访问日志和错误日志
rotate 5
// 轮替 5 次
mail www@my.org
// 信息发送到指定邮箱
size 100k
// 日志大于 100KB 时才进行日志轮替，不再按照时间轮替
sharedscripts
// 以下脚本只执行一次
postrotate
// 在日志轮替结束之后，执行以下脚本
/usr/bin/killall -HUP httpd
// 重启 apache 服务
endscript
// 脚本结束
}
// prerotate 和 postrotate 主要用于在日志轮替的同时，执行指定的脚本，一般用于日志轮替之后
// 重启服务。这里强调，如果你的日志是写入 rsyslog 服务的配置文件的，那么把新日志加入 logrotate
// 后，一定要重启 rsyslog 服务，否则你会发现虽然新日志建立了，但是数据还是写入了旧的日志当中。
// 那是因为虽然 logrotate 知道日志轮替了，但是 rsyslog 服务却并不知道。同理，如果你的日志不是
// 被 rsyslog 管理，如源码包安装的 Apache、Nginx 等服务，则需要重启 Apache 或 Nginx 服务，否则
// 日志也不能正常轮替。

[root@server21 ~]# chattr +a /var/log/alert.log
// 先给日志文件赋予 chattr 的 a 属性，保证日志的安全
[root@server21 ~]# vi /etc/logrotate.d/alter
// 创建 alter 轮替文件，把/var/log/alert.log 加入轮替
/var/log/alert.log {
weekly                                    // 每周轮替一次
rotate 6                                  // 保留 6 个轮替日志
sharedscripts                             // 以下命令只执行一次
prerotate                                 // 在日志轮替之前执行
 /usr/bin/chattr -a /var/log/alert.log
// 在日志轮替之前取消 a 属性，以便让日志可以轮替
endscript                                 // 脚本结束
sharedscripts
postrotate                                // 在日志轮替之后执行
/usr/bin/chattr +a /var/log/alert.log
// 日志轮替之后，重新加入 a 属性
endscript
sharedscripts
postrotate
/bin/kill -HUP $(/bin/cat /var/run/syslogd.pid 2>/dev/null) &>/dev/null
endscript
// 重启 rsyslog 服务，保证日志轮替正常
}

/date/logs/nginx/access/access.log /date/logs/nginx/access/default.log {
// 假设 Nginx 的日志放在/date 目录下
daily
rotate 15
sharedscripts
postrotate
/bin/kill -HUP $(/bin/cat /var/run/syslogd.pid) &>/dev/null
// 重启 rsyslog 服务
/bin/kill -HUP $(/bin/cat /usr/local/nginx/logs/nginx.pid) &>/dev/null
// 重启 Nginx 服务
endscript
}

#我们日志轮替之所以可以在指定的时间备份日志，其实也要依赖系统定时任务。如果大家还记得
// /etc/cron.daily/目录，就会发现这个目录中是有 logrotate 文件，logrotate 通过这个文件依赖定时任务执行的。
// 不过 logrotate 命令的格式是什么样的呢？我们来学习下：
[root@localhost ~]# logrotate [选项] 配置文件名
// 选项：
// 如果此命令没有选项，则会按照配置文件中的条件进行日志轮替 
// -v：显示日志轮替过程。加了-v 选项，会显示日志的轮替的过程，显示日志轮替过程。加了-v 选项，会显示日志的轮替的过程
// -f：强制进行日志轮替。不管日志轮替的条件是否已经符合，强制配置文件中所有的日志进行轮替
// 我们执行 logrotate 命令，并查看下执行过程：
[root@server21 ~]# vim -v  /etc/logrotate.conf 
// 查看日志轮替的流程
// …省略部分输出…
rotating pattern: /var/log/alert.log weekly (6 rotations)
// 这就是我们自己加入轮替的 alert.log 日志。
empty log files are rotated, old logs are removed
considering log /var/log/alert.log
log does not need rotating                            // 时间不够一周，所以不进行日志轮替
// …省略部分输出…
// 我们发现/var/log/alert.log 加入了日志轮替，已经被 logrotate 识别，并调用了。只是时间没
// 有达到轮替的标准，所以没有进行轮替。那我们强制进行一次日志轮替，看看有什么结果：
[root@server21 ~]# logrotate -vf /etc/logrotate.conf
// 强制进行日志轮替，不管是否符合轮替条件
// …省略部分输出…
rotating pattern: /var/log/alert.log forced from command line (6 rotations)
empty log files are rotated, old logs are removed
considering log /var/log/alert.log
log needs rotating                                    // 日志需要轮替
rotating log /var/log/alert.log, log->rotateCount is 6
dateext suffix '-20180607'                            // 提取日期参数
glob pattern '-[0-9][0-9][0-9][0-9][0-9][0-9][0-9][0-9]'
glob finding old rotated logs failed
running prerotate script
fscreate context set to unconfined_u:object_r:var_log_t:s0
renaming /var/log/alert.log to /var/log/alert.log-20180607
// 旧的日志被重命名
creating new /var/log/alert.log mode = 0600 uid = 0 gid = 0
// 创建新日志文件，同时制定权限、所有者和属组
running postrotate script
// …省略部分输出…
// 我们发现 alert.log 日志已经完成了日志轮替。我们查看下新产生的日志和旧日志：
[root@localhost ~]# ll /var/log/alert.log*
-rw-------. 1 root root 0 6 月      7 10:07 /var/log/alert.log
-rw-------. 1 root root 237 6 月      7 09:58 /var/log/alert.log-20180607
#旧日志文件已经转储
[root@server21 ~]# lsattr /var/log/alert.log
-------------e- /var/log/alert.log
// 新的日志文件被自动加入了 chattr 的 a 属性。
// logrotate 命令使用“-f”选项之后，就不管日志是否已经符合了日志轮替条件，而强制把所有
// 的日志都进行了轮替。