Linux服務(wù)器一般都是被放置在機(jī)房中自動運(yùn)行，管理員要了解服務(wù)器或是應(yīng)用程序的運(yùn)行狀態(tài)，大都需要通過日志。日志文件用于記錄Linux系統(tǒng)中各種運(yùn)行消息，不同的日志文件記載了不同類型的信息，例如Linux內(nèi)核消息、用戶登錄記錄、程序錯誤等。日志文件對于診斷和解決系統(tǒng)中的問題很有幫助，因為在Linux系統(tǒng)中運(yùn)行的程序通常會把系統(tǒng)消息和錯誤消息寫入相應(yīng)的日志文件，這樣系統(tǒng)一旦出現(xiàn)問題就會有據(jù)可查。此外，當(dāng)主機(jī)遭受攻擊時，日志文件還可以幫助尋找攻擊者留下的痕跡。

1. 主要日志文件

Linux系統(tǒng)本身和大部分服務(wù)程序的日志文件默認(rèn)情況下都放置在目錄“/var/log”中。有些程序會共用一個日志文件，有些程序則會使用單個日志文件，還有一些比較大型的程序由于日志文件不止一個，所以會在“/var/log”目錄中建立相應(yīng)的子目錄來存放日志文件。有相當(dāng)一部分日志文件只有root用戶才有權(quán)限讀取，這保證了相關(guān)日志信息的安全性。

例：查看“/var/log”目錄中的各種日志文件及子目錄。

在這些日志文件中，比較重要或是經(jīng)常用到的有：

/var/log/messages：記錄Linux內(nèi)核消息及各種應(yīng)用程序的公共日志信息，包括啟動、I/O錯誤、網(wǎng)絡(luò)錯誤、程序故障等。對于未使用獨(dú)立日志文件的應(yīng)用程序或服務(wù)，一般都可以從該日志文件中獲得相關(guān)的事件記錄信息。

/var/log/cron：記錄crond計劃任務(wù)產(chǎn)生的事件信息。

/var/log/dmesg：記錄Linux系統(tǒng)在引導(dǎo)過程中的各種事件信息。

/var/log/maillog：記錄進(jìn)入或發(fā)出系統(tǒng)的電子郵件活動。

/var/log/lastlog：最近幾次成功登錄事件和最后一次不成功登錄事件。

/var/log/rpmpkgs：記錄系統(tǒng)中安裝的各rpm包列表信息。

/var/log/secure：記錄所有與安全相關(guān)以及用戶登錄認(rèn)證過程中的事件信息。

/var/log/wtmp：記錄每個用戶登錄、注銷及系統(tǒng)啟動和停機(jī)事件。

/var/run/utmp：記錄當(dāng)前登錄的每個用戶的詳細(xì)信息。

2. 查看日志文件內(nèi)容

大多數(shù)的日志文件都可以使用tail、more、less、cat等文本處理工具查看日志內(nèi)容，其中在大多數(shù)情況下都是使用tail命令，這樣可以方便地查看到最近的日志信息。而且如果在tail命令中加上“-f”選項，還可以實(shí)時查看到日志文件中的最新信息。

通常情況下，內(nèi)核及大多數(shù)系統(tǒng)消息都被記錄到公共日志文件“/var/log/messages”中，而其它一些程序消息被記錄到不同的文件中。日志消息還能夠記錄到特定的存儲設(shè)備中，或者直接向用戶發(fā)送。

例：實(shí)時監(jiān)測/var/log/messages中的日志信息。

[root@localhost ~]# tail -f /var/log/messages

Oct 21 04:48:35 localhost avahi-daemon[3152]: Joining mDNS multicast group on interface eth0.IPv4 with address 192.168.80.130.

Oct 21 04:48:35 localhost avahi-daemon[3152]: Registering new address record for 192.168.80.130 on eth0.

Oct 21 04:48:35 localhost NET[4094]: /sbin/dhclient-script : updated /etc/resolv.conf

Oct 21 04:48:35 localhost dhclient: bound to 192.168.80.130 -- renewal in 760 seconds.

Oct 21 05:01:15 localhost dhclient: DHCPREQUEST on eth0 to 192.168.80.254 port 67

Oct 21 05:01:15 localhost dhclient: DHCPACK from 192.168.80.254

Oct 21 05:01:15 localhost dhclient: bound to 192.168.80.130 -- renewal in 723 seconds.

Oct 21 05:13:18 localhost dhclient: DHCPREQUEST on eth0 to 192.168.80.254 port 67

Oct 21 05:13:18 localhost dhclient: DHCPACK from 192.168.80.254

Oct 21 05:13:18 localhost dhclient: bound to 192.168.80.130 -- renewal in 749 seconds.

Oct 21 05:22:58 localhost kernel: Installing knfsd (copyright (C) 1996 okir@monad.swb.de).

Oct 21 05:22:58 localhost kernel: NFSD: Using /var/lib/nfs/v4recovery as the NFSv4 state recovery directory

Oct 21 05:22:58 localhost kernel: NFSD: starting 90-second grace period

大部分日志文件中所使用的日志記錄格式都是相同的。下面以公共日志文件“/var/log/messages”為例來說明日志記錄的基本格式。

日志文件中的每一行表示一條消息，每個消息均由四個字段的固定格式組成。

時間標(biāo)簽：消息發(fā)出的日期和時間。

主機(jī)名：生成消息的計算機(jī)的名稱。

子系統(tǒng)名稱：發(fā)出消息的應(yīng)用程序的名稱。

消息：消息的具體內(nèi)容。

例如上面所顯示的最后一條消息：

Oct 21 05:22:58 localhost kernel: NFSD: starting 90-second grace period

這條消息的含義為：

10月21日05:22:58在localhost這臺主機(jī)上，由內(nèi)核kernel中的nfsd服務(wù)所產(chǎn)生的信息，信息的內(nèi)容為“starting 90-second grace period”。管理日志服務(wù)

RHEL系統(tǒng)中的內(nèi)核及系統(tǒng)日志功能主要由rsyslogd服務(wù)提供，該服務(wù)的配置文件為"/etc/rsyslog.conf"。

rsyslogd服務(wù)默認(rèn)已經(jīng)安裝并自動運(yùn)行，/etc/rsyslog.conf配置文件則可以對日志進(jìn)行設(shè)置，它可以指定那些信息需要記錄，以及記錄在哪里。

例：查看/etc/rsyslog.conf配置文件中的主要內(nèi)容。

/etc/rsyslog.conf文件中的每一行代表一條設(shè)置值，每一條設(shè)置值的語法如下：

        消息類型   執(zhí)行動作

其中的"消息類型"指定哪些消息需要記錄，"執(zhí)行動作"則告訴系統(tǒng)日志服務(wù)該如何處理這些消息。

"消息類型"必須以下列的格式指定消息的種類：

        消息來源.優(yōu)先級

"消息來源"表示消息是從哪個子系統(tǒng)傳送過來的，來源主要有以下這些：

authpriv：與用戶安全、驗證有關(guān)的消息；

cron：與計劃任務(wù)有關(guān)的消息；

daemon：與一般服務(wù)有關(guān)的消息；

kern：來自系統(tǒng)內(nèi)核的消息；

mail：來自郵件系統(tǒng)的消息；

localN：保留

"優(yōu)先級"則用來指出消息的優(yōu)先等級，即消息的重要程度。其優(yōu)先級別如下（數(shù)字等級越小，優(yōu)先級越高，消息越重要）：

0 EMERG（緊急）：會導(dǎo)致主機(jī)系統(tǒng)不可用的情況。

1 ALERT（警告）：必須馬上采取措施解決的問題。

2 CRIT（嚴(yán)重）：比較嚴(yán)重的情況。

3 ERR（錯誤）：運(yùn)行出現(xiàn)錯誤。

4 WARNING（提醒）：可能影響系統(tǒng)功能，需要提醒用戶的重要事件。

5 NOTICE（注意）：不會影響正常功能，但是需要注意的事件。

6 INFO（信息）：一般信息。

7 DEBUG（調(diào)試）：程序或系統(tǒng)調(diào)試信息等。

除此之外，"消息來源"與"優(yōu)先級"可以使用星號（*）代表所有，因此*.*就表示來自所有子系統(tǒng)的所有級別的消息。

而"執(zhí)行動作"字段則用來定義如何處理接收到的消息，可以指定如下幾項內(nèi)容：

/PATH/FILENAME：將消息存儲到指定的文件中，文件必須以斜線（/）開頭的絕對路徑命名；

USERNAME：將消息發(fā)送給指定的已經(jīng)登錄的用戶；

@HOSTNAME：將消息轉(zhuǎn)發(fā)到指定的日志服務(wù)器；

*：將消息發(fā)送給所有已經(jīng)登錄的用戶。

因而文件中的設(shè)置值：

authpriv.*   /var/log/secure

它所代表的含義為：將與用戶安全、驗證有關(guān)的所有級別的消息都存儲到指定的文件/var/log/secure中。

在對“消息類型”進(jìn)行設(shè)置時，有以下三種方法：

l  “.”：代表“比后面還要高的優(yōu)先級（含該優(yōu)先級）都被記錄下來”的意思，例如：mail.info代表只要是mail的消息，而且該消息優(yōu)先級高于info（含info本身）時，就會被記錄下來。

l  “.=”：代表所需要的優(yōu)先級就是后面的優(yōu)先級而已，其他的不要。

l  “.!”：代表不等于，也就是除了該優(yōu)先級外的其他優(yōu)先級都記錄。

比如下面的設(shè)置項：

        mail.info  /var/log/maillog_info

表示mail服務(wù)產(chǎn)生的大于等于info優(yōu)先級的信息，都記錄到/var/log/maillog_info文件中。

另外，如果需要對不同類型的消息，采用同一種“執(zhí)行動作”，syslog.conf允許使用分號連接多個消息，例如設(shè)置值：

        *.info;mail.none;authpriv.none;cron.none          /var/log/messages

它表示的含義是：將所有的info級別以上的消息（不包括來自郵件系統(tǒng)的、與用戶安全、驗證有關(guān)的、與計劃任務(wù)有關(guān)的消息），都存儲到指定的文件/var/log/messages中。