Debian Message与系统日志的关联
概念与定位
在 Debian 语境中，“Message”通常指系统日志中由 syslog/rsyslog 写入的“通用系统消息”流。Debian 默认将这类消息写入 /var/log/syslog；而在 RHEL/CentOS 等发行版中，等价的通用日志文件是 /var/log/messages。两者本质上对应同一类 syslog 消息，只是文件名与默认策略不同，均用于集中记录系统运行期间产生的各类事件信息。
消息如何进入系统日志
- 内核产生的日志首先进入内核环形缓冲区，可通过 dmesg 查看；随后由日志守护进程（如 rsyslog）按配置写入持久化文件（如 /var/log/kern.log、/var/log/syslog）。
- 用户态程序与系统服务通过 syslog API 或 journald 提交日志；在 Debian 上，这些日志通常由 rsyslog 按“设施（facility）/优先级（priority）”选择器规则写入 /var/log/syslog 或按配置拆分到专用文件（如 /var/log/auth.log 等）。
- 日志选择器语法为“facility.severity 动作”，例如 “*.info;mail.none;authpriv.none;cron.none /var/log/messages”，表示将 info 及以上级别（排除 mail、authpriv、cron）的通用消息写入指定文件。
- 系统启动阶段的早期消息可由 bootlogd 记录到 /var/log/boot，作为系统日志的补充视角。
查看与检索的常用方式
- 使用 journalctl（systemd 日志）统一检索：
- 查看本次启动日志：journalctl -b
- 实时跟踪：journalctl -f
- 按服务过滤：journalctl -u 服务名
- 按时间范围：journalctl --since “2025-01-01” --until “2025-01-02”
- 按优先级过滤：journalctl -p err（err/warning 等）
- 直接查看文件：
- 通用消息：cat/less/tail -f /var/log/syslog
- 认证相关：/var/log/auth.log；内核相关：/var/log/kern.log
- 文本过滤与排查：grep “error” /var/log/syslog、结合 awk/sed 做字段提取与统计。
配置与管理的要点
- 配置文件路径：/etc/rsyslog.conf 与 /etc/rsyslog.d/*.conf。常见做法是在 /etc/rsyslog.d/50-default.conf 中设置通用消息目标，例如：
- *.info;mail.none;authpriv.none;cron.none /var/log/messages（将通用 info 级别日志写入 /var/log/messages）
- 修改后重启服务：sudo systemctl restart rsyslog
- 日志轮转：由 logrotate 管理（如 /etc/logrotate.conf、/etc/logrotate.d/），控制单文件大小、保留份数与压缩，防止日志无限增长。
- 集中式日志：启用 rsyslog 的 TCP/UDP 514 端口，将日志转发到远程日志服务器，便于统一审计与归档。