linux日志模块

linux日志模块

日志的记录功能有特定的守护程序syslog来提供，若软件套件需要写入到syslogd的管理的登录文件中，则该软件套件需要支持syslogd的登录文件的写入模式。

日志的信息主要是放在目录/var/log的目录下，syslog的配置文件为/etc/syslog.conf，该配置文件设置了auth,authpriv、cron、daemon、kern、lpr、mail、news、syslog、user，uucp，local0-local7这些服务类别相应七种信息等级（info、notice、warn、error、crit、alert、emerge、）的日志记录文件放置的位置，此外还有一种特殊等级none表示不需要记录任何等级。

在等级之前有三种符号来说明等级【.=!】 [.]点号表示大于后面的信息等级（包括本身），[.=]表示只能等于该信息等级，[.!]表示除了该等级之外的其他等级都记录。

当有多台主机需要将记录汇总到一台主机上的时候，可以这么设置。

 服务器上：该服务利用的是UDP的514端口，因此就是要打开该服务端口。

首先确保/etc/services 中存在UDP 514与syslog有对应关系，之后到/etc/sysconfig/syslog的启动脚本中修改让其支持远程传送的功能即加上-r 选项，重新启动syslog守护进程，利用netstat确保端口打开。

 客户端则只要需修改syslog.conf的配置文件，指明要传送到的服务器地址。

 *.*          @服务器ip地址

/etc/syslog.conf记录的是日志存放的位置，/etc/sysconfig/syslog放置的是启动脚本程序。

当日志文件原来越大，日志的写入效率会变低，因此有必要分将日志进行轮转，分成几个小的文件。文件的轮转功能的配置文件记录在/etc/logrotate.conf文件中，在文件会读取/etc/logrotate.d目录下的配置信息。/etc/logrotate.d其实是由/etc/logrotate.conf规划出来的目录，单独出一个目录出来，避免都读取logrorate.conf文件，导致过于复杂，/etc/logrotate.d主要存放的是rpm包建立的服务器的登录文件的设置信息。/etc/logrotate.d/syslog设置了日志是如何轮转的。Logrotate –v 配置文件 可以查看轮转的信息，logrotate –f 配置文件强制进行一次轮转。

Last、lastlog、dmesg可以查看最近的登录信息。