1 日志介绍

Linux系统的日志记录
  rsyslog程序
    rsyslog的一些特性:
      多线程 
      可以基于UDP,TCP,SSL,TLS,RELP 实现日志记录
      MySQL, PGSQL,Oracle实现日志存储
      自定义输出
ELK: elasticsearch, logstash,kibana
  非关系型分布式数据库
  基于apache软件基金会jakarta项目组的项目Lucene(搜索引擎)
  Elasticsearch是个开源的分布式搜索引擎
  Logstash对日志进行搜集,分析,并将其存储以供分析使用
  Kibana可以提供的日志分析很好的web界面

rsyslog的介绍
  facility: 设施,从功能或程序上对对日志进行分类    auth,authpriv,cron,daemon,ftp,kernel,lpr,mail,news,security(auth),user,uucp,local0-local7,syslog
  priority 优先级,从低到高
    debug,info,notice,warn,err,crit,alert,emerg

系统记录日志的默认文件:
  /var/log/secure: 系统安装日志,文本格式
  /var/log/btmp: 当前系统上,用户的失败尝试登录相关的日志分析,二进制格式,lastb命令进行查看
  /var/log/lastlog: 每一个用户最近一次登录信息,二进制格式,lastlog命令可以查看
  /var/log/dmesg: 系统引导过程中的日志信息,文本格式,可通过文本查看工具或dmesg命令查看
  /var/log/messages: 系统中大部分的信息
  /var/log/anaconda: anaconda的日志(CentOS7 存在)

2 journalctl

日志管理工具journalctl (CentOS7)
  systemd 统一管理所有Unit的启动日志.带来的好处就是,可以只用journalctl一个命令,查看所有日志(内核日志和应用服务日志).日志的配置文件/etc/systemd/journald.conf
  journalctl的用法:
    journalctl -k # 查看内核日志,默认为应用的日志
    journalctl -b -0 | journalctl -b # #查看系统本次启动的日志,通过#可以查看上几次的日志
    journalctl --since "time1"  --until "time2" #通过指定时间可以查看指定范围的日志
    journalctl -n # # 可以通过#设定查看尾部指定行的日志
    journalctl -f # 实时滚动日志显示最新日志
    journalctl -p priority -b # 显示指定级别的日志
    journalctl --disk-usage # 显示日志占据的磁盘空间
    journalctl --vacuum-size=#  #指定日志文件占据的最大空间
    journalctl --vacuum-time=# #指定日志文件可以保存多长时间

配置使用基于mysql存储日志信息：
  (1) 准备好MySQL服务器，创建用户，授权对Syslog数据库的全部访问权限；
  (2) 安装rsyslog-mysql程序包；
  (3) 创建rsyslog-mysql依赖的数据库；
    # mysql -uUSERNAME -hHOST -pPASSWORD < /usr/share/doc/rsyslog-mysql-VERSION/createDB.sql
  (4) 配置rsyslog使用ommysql模块
    #### MODULES ####
    $ModLoad ommysql
    #### RULES ####
    facility.priority   :ommysql:DBHOST,DB,DBUSER,USERPASS

    重启rsyslog服务
  (5) 安装loganalyzer
    (a) 配置webserver, 支持php
      # yum install httpd php php-mysql php-gd
      # service httpd start
    (b) loganalyzer
      # cp -r loganalyzer-3.6.5/src /var/www/html/loganalyzer
      # cp loganalyzer-3.6.5/contrib/*.sh /var/www/html/loganalyzer
      # cd /var/www/html/loganalyzer
      # chmod +x *.sh
      # ./configure.sh