centos syslog使用技巧有哪些 - 问答

CentOS Syslog使用技巧汇总

查看默认日志文件：CentOS的Syslog日志主要存储在/var/log目录下，常见文件包括/var/log/messages（系统内核与服务消息）、/var/log/secure（安全认证信息）、/var/log/boot.log（系统启动日志）、/var/log/dmesg（内核启动消息）。
实时跟踪日志变化：使用tail -f /var/log/messages命令可实时查看日志文件的最新内容，便于监控系统实时状态。
搜索特定关键字：通过grep命令过滤日志中的关键信息，例如grep "error" /var/log/messages可找出所有包含“error”的日志行；结合journalctl（适用于CentOS 7及以上版本）使用journalctl | grep 'error'能搜索systemd管理的所有日志。

安装与启动：使用yum install rsyslog安装rsyslog（CentOS默认日志服务），安装完成后通过systemctl start rsyslog启动服务，并用systemctl enable rsyslog设置开机自启，确保服务持续运行。
配置远程日志接收：编辑/etc/rsyslog.conf文件，取消以下两行的注释（或添加）以启用UDP/TCP远程日志接收：
module(load="imudp")
input(type="imudp" port="514")
module(load="imtcp")
input(type="imtcp" port="514")
然后添加远程日志规则（如*.* @192.168.1.100:514，@表示UDP，@@表示TCP），重启rsyslog服务使配置生效。

防止日志过大：使用logrotate工具自动管理日志轮转，编辑/etc/logrotate.d/rsyslog文件（或创建自定义配置文件），设置轮转规则。例如，按天轮转/var/log/messages并保留30天：
/var/log/messages { daily rotate 30 compress delaycompress missingok notifempty create 640 root adm }
该配置表示每天轮转一次，保留30个压缩日志文件，避免磁盘空间耗尽。

过滤特定服务日志：通过$programname变量将特定服务的日志写入单独文件，例如将Nginx日志写入/var/log/nginx.log：
if $programname == 'nginx' then /var/log/nginx.log
添加& stop可停止后续规则匹配，避免重复记录。
按日志级别过滤：使用$syslogseverity变量过滤特定级别的日志，例如仅记录错误及以上级别日志：
if $syslogseverity <= 3 then /var/log/error.log
（0=emerg、1=alert、2=crit、3=err，数值越小级别越高）。
定义日志格式：通过$template定义日志输出格式，例如添加时间戳、主机名、程序名：
$template CustomFormat,"%timegenerated% %syslogtag% %msg%\n"
然后应用模板：*.* ?CustomFormat。

配置防火墙：若启用远程日志接收，需开放UDP/TCP 514端口，使用firewall-cmd --permanent --add-port=514/udp和firewall-cmd --permanent --add-port=514/tcp命令，然后firewall-cmd --reload重新加载配置。
加密传输：为防止日志在传输中被窃取，可使用TLS加密。编辑/etc/rsyslog.conf，添加module(load="imudp" ssl.caCert="/path/to/ca.crt" ssl.cert="/path/to/server.crt" ssl.key="/path/to/server.key")（UDP示例），并配置客户端使用@@(encrypted)连接。

检查服务状态：使用systemctl status rsyslog查看rsyslog服务是否运行正常，若有错误需根据提示修复。
验证配置语法：修改配置文件后，使用rsyslogd -N1命令检查语法是否正确（-N1表示仅检查语法，不实际启动服务）。
测试远程日志：在客户端使用logger "Test remote log message"命令发送测试日志，登录服务器检查/var/log/目录下是否有对应的日志文件（如/var/log/secure或自定义路径）。

0 赞

0 踩