[RH124] 12-日志管理、NTP

1.学会提问

• 1.我在做什么？
• 2.我要实现什么样的效果，而我的结果是什么？提供结果对比。
• 报错信息是什么？
• 日志怎么显示的？

2.如何解决问题

• 1.定位问题：通过查看日志。
• 解决问题

3.rsyslog

Linux的日志是用一个服务来管理的。

　　rsyslog：RHEL6开始就叫rsyslog。

　　syslog：RHEL5以前叫syslog。

这个日志管理服务是默认开机启动的。

4.rsyslog的配置文件

 

/etc/rsyslog.*

rsyslog的配置文件，其中包含rsyslog.conf以及rsyslog.d里的listen.conf。

rsyslog.conf文件解析：

MODULES：MODULES段里的配置决定各个模块的开启与关闭。

GLOBAL DIRECTIVES：rsyslog全局配置，一般保持默认，不用修改。

RULES：定义各种日志。

Linux系统中内置很多种事件（大概八九十种），每种事件都有以下级别。

级别有以下几种：

级别高低：emerg>aler>crit>err>warning>notice>info，debug只是调试使用。

RULES格式：

　　 "事件.级别   file"：意思是，事件的级别 >= 级别时，日志保存到file中。

例如：

这个配置的意思：

　　"*"表示所有事件，*.info：即所有事件中，级别大于等于info的都写入日志/var/log/messages里。

　　mail.none：表示关于邮件的事件，不写日志。同理authpriv.none和cron.none。

 

为什么要将mail，authpriv，cron的日志去除掉，因为我们要把他们单独放到日志文件中。如图：

意思是把authpriv、mail、cron相关的所有信息记录到对应的日志文件中。

 -/var/log/maillog 中的"-"是异步的意思，即将内存中的内容写到硬盘中是一批一批写入的，效率比同步写入要高。

 

上图中：

*.emerg：表示所有达到emerg级别的事件发生时，会触发":omusrmsg:*"，系统会想所有在线终端发送通告。

例如，我们模拟一个emerg事件：logger -p local5.emerg 'this is a test'：模拟事件local5发生，级别是emerg，输出通告是"this is a test"，这条通告会实时发送到每个终端。如图：

 

模拟一个日志输出：

1）我们在rsyslog.conf中，另起一行：

2）重启rsyslog日志管理服务：systemctl restart rsyslog 

3）然后我们模拟local5事件发生，级别为debug。

　　 logger -p local5.debug 'This is a log about local5.debug...' 

4.看/var/log/xx.log中是否记录日志：

 

5.日志服务器

同时管理很多服务器的时候，不可能每台机器登录上去查看日志。

那么我们可以配置一台日志服务器，来收集每台被管理服务器的日志。

配置远程日志服务器：

1）在host67（被监控机器）修改/etc/rsyslog.conf中：

如果发生local6事件级别大于或等于debug，就将该日志发送给192.168.1.68服务器的rsyslog处理。

2）重启host67的rsyslog服务。 systemctl restart rsyslog 

3）在host68（日志服务器）上修改/etc/rsyslog.conf配置：

打开UDP、TCP远程接收日志的模块。

定义local6事件级别大于等于debug，如何处理。

4）重启host68上的rsyslog服务。 systemctl restart rsyslog 

5）在host67上模拟local6.info事件发生。

6）检查host68的/var/log/messages和/var/log/yy.log里是否已写入日志：

日志中的host67表示来自哪个主机（主机名），hanxinda表示日志产生时，登录的用户是哪个（su到其他用户的情况不算）。

 

根据主机名来设置日志存放地点：

如果节点服务器有很多，每一台都产生时间，并发送给日志服务器，那么服务器存放日志在同一个文件下就会很乱。我们可以根据主机名来分类的存放日志。

1）在日志服务器上配置/etc/host：

2）在日志服务器/etc/rsyslog.conf中配置：

3）这样，只要是来自host67的日志，都会先被写到host67.log日志文件中。同时该日志也会写到先前配置的yy.log中。因为/etc/rsyslog.conf配置文件的RULES是从上到下匹配的，只要匹配上，就会把日志写到指定的地方。

 

设置远程日志放在一些文件中，不影响本地日志：

在日志服务器/etc/rsyslog.conf配置：

"~"表示匹配到的日志，就此打住，后面的规则就不用匹配的。所以，来自host67的日志，在写入host67.log后，就不会与本地日志混合了。

6.如何查看日志

journalctl：查看所有事件日志。
journalctl -f：查看最近事件日志。
journalctl -p err：查看err级别以上的日志。

journalctl --since "2018-06-13 20:00:00"：查看2018-06-13 晚8点以后的所有日志。
journalctl --since "2018-06-13 20:00:00" --until "2018-06-20 20:00:00" ：查看2018-6-13 晚8点到2018-6-20晚8点之间的日志。

7.NTP服务

 date ：查看时间

 date 122010002018 ：设置时间为2018年12月20日10点00分。

 kwclock -s ：把时间修改为bios时间。

timedatectl命令：

 

timedatectl status  # 查看时间详细信息。简写为timedatectl。
timedatectl list-timezones  # 查看可用时区列表。
timedatectl set-timezone Africa/abidjan  # 设置时区为Africa/abidjan。

 

如果不适用timedatectl，如何修改时区呢：

Linux系统时区文件都放在 /usr/share/zoneinfo 下，按 洲来存放。

例如 /usr/share/zoneinfo/Asia/Shanghai 。

 

我们要修改时区，只需要把该时区文件覆盖 /etc/localtime 就可以了。

 cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime 

但是用这种方法修改后，时间是正常的，但是用timedatectl查看时区，还是显示的错误的。

 

timedatectl set-time "2018-07-03 12:00:00"  # 设置时间。同时会将系统时间和BIOS时间都设置了。
timedatectl set-time 12:00:00  # 设置时间为12点。

 

配置NTP服务：

1）关闭默认NTP服务

系统默认有一个NTP服务叫chronyd.service。

我们设置不启动它：

 systemctl stop chronyd.service 

 systemctl disable chronyd.service 

2）安装NTP服务：

mount /dev/cdrom /mnt
rpm -ivh /mnt/Packages/ntp-4.2.6p5-19.el7_0.x86_64.rpm
rpm -ivh /mnt/Packages/ntpdate-4.2.6p5-19.el7_0.x86_64.rpm

或者使用 yum install ntp -y 安装。

3）配置/etc/ntp.conf

允许192.168.1.0网段的机器向我进行同步。（不含noquery表示可以询问时间）

 

127.127.1.0不是一个网段，而是一个IP地址（回环地址，主板芯片上的地址），表示我这个服务器去哪里同步时间，可以写多个。

 

4）启动ntpd

systemctl start ntpd.service
systemctl enable ntpd.service

5）在另外一台机器上使用ntpdate 192.168.1.67进行同步。

 

设置向服务器自动同步时间：

1）安装system-config-date软件。

 yum install system-config-date -y 

2）配置：

在界面中配置NTP服务器地址。

运行 system-config-date & 

可能出现界面上从网络同步时间的选项是灰色的（无法勾选）

这时：我们使用timedatectl查看时间详细信息，里面的

我们需要通过 timedatectl set-ntp true 来启用。

再次运行 system-config-date & ：

我们修改NTP Servers框里的服务器地址：

3）使用 chronyc sources -v 查看是否同步成功。

看到左下角的"*"表示同步成功。

 

===