ubuntu syslog恢复技巧 - 问答

在Ubuntu系统中，如果遇到syslog文件损坏或误删除的情况，可以采取以下步骤进行恢复：

查找打开日志文件的进程ID(PID)：

使用 lsof 命令查找正在打开 /var/log/messages 文件的进程ID(PID)。例如：
```
sudo lsof /var/log/messages
```
输出可能显示 rsyslogd 进程正在使用该文件。
找到对应的文件描述符(FD)：

使用 ls -al /proc/PID/fd/FD 命令找到对应的文件描述符，其中PID是步骤1中获取的进程ID，FD是文件描述符号。例如：
```
ls -al /proc/544/fd/7
```
恢复日志文件：

将文件描述符指向的文件拷贝回 /var/log/messages：
```
sudo cp /proc/PID/fd/FD /var/log/messages
```
例如，如果PID是544，FD是7，命令如下：
```
sudo cp /proc/544/fd/7 /var/log/messages
```
重启syslog服务：

重新启动 rsyslog 服务以使更改生效：
```
sudo systemctl restart rsyslog
```
或者，如果你的系统使用的是 SysVinit 或 Upstart：
```
sudo service rsyslog restart
```
检查服务状态以确认服务已重启：
```
sudo systemctl status rsyslog
```
或者：
```
sudo service rsyslog status
```
如果一切正常，你应该会看到 “active (running)” 的状态信息。

使用 rsyslog 进行日志备份：

安装和配置 rsyslog：
```
sudo apt-get install rsyslog
sudo systemctl enable rsyslog
sudo systemctl start rsyslog
```
配置日志接收模板：

编辑 /etc/rsyslog.conf 文件，添加日志接收模板。例如：
```
template remote-incoming-logs, "/var/log/%HOSTNAME%/%PROGRAMNAME%.log"
```
这将使得所有传入的日志消息存储在 /var/log/ 目录下，文件名格式为主机名/程序名.log。
使用 cron 定时任务进行备份：

使用 crontab -e 编辑定时任务，设置每天凌晨0点备份 /var/log/ 目录下的所有日志文件到指定目录：
```
0 0 * * * root cp -r /var/log/* /path/to/backup/directory/
```
这将每天自动备份日志文件。
使用 logrotate 进行日志轮转和备份：

配置 logrotate：

编辑 /etc/logrotate.conf 或 /etc/logrotate.d/rsyslog 文件，添加以下配置：
```
/var/log/syslog {
    daily
    rotate 7
    compress
    delaycompress
    missingok
    notifempty
    create 640 root adm
    postrotate
        /usr/lib/rsyslog/rsyslog-daemon reload
    endscript
}
```
这将每天轮转 /var/log/syslog 文件并保留最近7天的备份。

使用 rsync 进行增量备份：

增量备份脚本：

#!/bin/bash
LOG_FILE="/var/log/syslog"
BACKUP_DIR="/tmp/logs_backup"
mkdir -p BACKUP_DIR
rsync -av --delete $LOG_FILE $BACKUP_DIR

将此脚本添加到 cron 作业中，定期执行备份操作。

通过以上步骤，您可以尝试恢复被误删除的syslog文件，并确保新的日志记录能够继续被写入。同时，建议定期备份日志文件，以防止未来发生类似情况。

0 赞

0 踩