CentOS7.9：系统日志管理结构化实战教程

一、项目概述1.1 业务场景说明系统日志记录服务器登录记录、服务运行状态、程序报错信息日常运维排查故障、安全审计全部依靠日志掌握本地日志查看、日志轮转、远程日志推送结合 PXE 批量装机统一内网服务器日志规则把所有主机日志汇总至中央日志服务器完成集中审计。1.2 环境参数项目参数值操作系统CentOS Linux release 7.9‑2009日志服务rsyslog系统默认日志服务主配置文件/etc/rsyslog.conf日志存放目录/var/log/日志切割工具logrotate远程日志服务器 IP[192.168.1.10](192.168.1.10)二、系统常见日志文件介绍/var/log/messages系统综合日志大部分服务普通信息、报错信息默认写入此文件运维排查最常用日志/var/log/secure安全日志记录 ssh 远程登录、用户密码修改、权限变更暴力破解痕迹全部保存在这里/var/log/cron定时任务日志记录 crontab 计划任务执行记录/var/log/boot.log系统开机启动日志排查开机服务启动失败问题/var/log/dhcpd.log、vsftpd.log对应服务独立日志文件。三、rsyslog 配置文件格式讲解3.1 配置格式规则格式设施.优先级 日志保存位置设施facility日志来源auth‑priv、cron、daemon、ftp、kern、lpr、mail、news、user。优先级从高到低emerg紧急、alert警报、crit严重、err错误、warn警告、notice注意、info信息、debug调试*代表所有级别。3.2 简单配置示例打开/etc/rsyslog.confconf# 将所有错误级别日志写入messages文件*.err /var/log/messages# 安全相关日志单独保存auth-priv.* /var/log/secure四、日志查看实时监控命令运维高频命令shell# 实时跟踪日志实时查看新增日志tail -f /var/log/messages# 跟踪最新20行日志tail -20f /var/log/secure# 筛选关键词排查报错grep -i error /var/log/messages# 查看最近一小时日志sed -n /Jul 14 15:00:00/,/Jul 14 16:00:00/p /var/log/messages# 手动生成测试日志logger warning: test service failed五、logrotate 日志轮转防止日志占满磁盘日志文件长期运行体积持续变大logrotate 实现日志按天切割、压缩、过期自动删除。5.1 全局配置文件主配置文件/etc/logrotate.confconfweekly # 默认每周轮转一次rotate 4 # 保留4份历史日志create # 生成新日志文件compress # 旧日志gzip压缩5.2 独立服务轮转配置示例新建配置文件/etc/logrotate.d/messages‑logshellvi /etc/logrotate.d/messages-logconf/var/log/messages {dailyrotate 30compressmissingokcreate 0600 root root}参数说明daily每天切割日志rotate 30日志文件只保留 30 天missingok文件不存在不报错compress历史日志压缩节省磁盘空间。5.3 调试轮转规则shell# 模式调试不会真正执行切割logrotate -d /etc/logrotate.d/messages-log# 强制执行一次轮转logrotate -f /etc/logrotate.d/messages-log六、客户端推送日志至远程日志服务器6.1 修改 rsyslog 配置shellvi /etc/rsyslog.conf末尾添加配置全部日志通过 UDP 协议发送到日志服务器。conf*.* 192.168.1.10:514符号说明UDP 协议TCP 协议可靠性更高。6.2 重启服务生效shellsystemctl restart rsyslogsystemctl enable rsyslog七、ks.cfg 批量装机自动配置日志推送PXE 无人部署系统时新装服务器自动开启日志推送。shell%postecho *.* 192.168.1.10:514 /etc/rsyslog.confsystemctl restart rsyslogsystemctl enable rsyslog%end八、高频故障总结故障 1日志文件体积过大磁盘空间占满原因logrotate 轮转规则未生效日志不会自动清理解决调试 logrotate 配置设置过期自动删除。故障 2无法查看到服务报错日志原因rs