zhouzhongping/wiki
1
0
Fork 0
Code

Linux：日志管理

Browse Source
This commit is contained in:
周中平 2024-03-22 17:15:07 +08:00
parent 7866d0e1ac
commit d0f9cd06bc
Signed by: zhouzhongping
GPG Key ID: 6666822800008000
3 changed files with 542 additions and 329 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

320
Tech/operating-system/Linux/进阶/Linux 日志监控.md
View File

@ -1,320 +0,0 @@
---
title: Linux 日志监控
description: Linux 日志监控
keywords:
- Linux
- 日志监控
tags:
- Linux/进阶
sidebar_position: 3
author: 7Wate
date: 2023-04-10
---
## 引言
在 IT 领域，日志管理和监控是至关重要的技术，特别是在 Linux 系统中。日志提供了系统和应用程序行为的详细信息，可以帮助管理员诊断和解决问题，理解系统的运行情况，提供安全审计，并满足合规性要求。
## 基础
### 日志系统介绍
在 Linux 中，日志系统是跟踪和记录系统活动的核心组件。系统日志提供了大量的信息，包括系统错误，操作警告，安全警告和其他重要事件。理解和管理这些日志是运维工作中的关键部分，可以帮助定位和解决各种系统问题。
Linux 系统广泛采用 syslog 协议进行日志处理。syslog 协议最初由 Eric Allman 在 1980 年代早期开发，目的是为了 UNIX 系统提供一个日志处理框架，后来也成为了其他许多系统的标准。
Syslog 是一个分布式日志记录系统，可以从各种源收集日志，例如内核、守护进程或任何其他程序。它根据每个日志消息的优先级和设施（产生消息的系统部分），将其路由到适当的地方进行处理。这些地方可以是文件、控制台、远程服务器或其他目标。此外，syslog 还提供了消息缓冲，保证在系统繁忙或出现问题时，日志消息不会丢失。
### 日志文件和其位置
Linux 系统中的日志文件通常存储在 `/var/log` 目录下。这个目录中有许多文件和子目录，用于记录各种不同类型的日志。以下是其中一些重要的日志文件：
1. `/var/log/syslog` 或 `/var/log/messages`：这两个文件通常包含系统和应用程序的所有非安全日志消息。哪个文件被使用取决于你的发行版和配置。
2. `/var/log/auth.log` 或 `/var/log/secure`：这些文件记录所有的安全授权信息，包括用户认证、sudo 操作等。
3. `/var/log/kern.log`：该文件记录所有的内核相关消息。
4. `/var/log/dmesg`：保存由 dmesg 命令显示的内核环形缓冲区的消息。
5. `/var/log/boot.log`：记录系统启动过程中的信息。
6. `/var/log/faillog`：这个文件记录所有的登录失败尝试。它可以帮助管理员跟踪并阻止潜在的非法活动。
7. `/var/log/maillog` 或 `/var/log/mail.log`：这两个文件记录与电子邮件系统相关的所有日志信息。包括邮件传送、接收，以及任何可能发生的错误。
8. `/var/log/journal/`：此目录包含了 systemd 日志服务（journald）的二进制日志文件。它们包含了系统启动以来的所有日志消息。
9. `/var/log/lastlog`：此文件记录了系统上每个账户的最后登录时间。管理员可以使用这个日志来跟踪用户活动。
10. `/var/log/wtmp` 和 `/var/log/btmp`：这两个文件分别记录了成功和失败的登录尝试。通过检查这些文件，管理员可以发现潜在的安全问题。
11. `/var/log/Xorg.0.log`：此文件记录了 X Window 系统的日志，主要用于调试 X 服务器的问题。
理解这些日志文件的内容和它们所在的位置，对于日常的系统维护、问题诊断和安全审计都非常重要。在实际使用中，还需要结合具体的发行版和配置，以及具体的应用程序和服务的需求，来进行灵活的操作和管理。
## 日志管理
### 日志轮替
日志文件可以在短时间内变得非常大，尤其是当系统或应用程序产生大量日志信息时。一个大的日志文件不仅会占用大量的磁盘空间，也会使日志分析变得复杂和耗时。这就是为什么日志旋转变得非常重要。
日志旋转是一种解决方法，它会定期将旧的日志条目移动到新的文件中，同时管理和删除过旧的日志文件。在 Linux 系统中，这通常由 logrotate 实现。
#### Logrotate
`logrotate` 是一个用于管理日志文件的工具，它可以自动轮转、压缩、删除和邮件发送日志文件。在 Linux 系统中，许多程序都会生成日志文件，这些文件会随着时间的推移不断增长，`logrotate` 可以帮助系统管理员管理这些日志文件，防止它们占用过多的磁盘空间。
`logrotate` 的主要特性和功能：
- **日志轮转**：`logrotate` 可以按照日、周、月或者文件大小来轮转日志文件。这意味着当一个新的轮转周期开始时，当前的日志文件将被重命名，然后创建一个新的日志文件。例如，你可以配置 `logrotate` 每天轮转一次 `/var/log/messages` 文件，那么每天开始时，`/var/log/messages` 文件会被重命名为 `/var/log/messages.1`，然后创建一个新的 `/var/log/messages` 文件用于记录新的日志。
- **日志压缩**：`logrotate` 可以自动压缩旧的日志文件以节省磁盘空间。默认情况下，它使用 `gzip` 进行压缩，但也可以配置使用其他压缩工具。
- **删除旧的日志文件**：你可以配置 `logrotate` 自动删除超过一定时间的旧日志文件。例如，你可以配置 `logrotate` 只保留最近 30 天的日志文件。
- **邮件发送日志文件**：如果你希望保存被删除的日志文件，可以配置 `logrotate` 在删除之前将日志文件发送到一个指定的电子邮件地址。
`logrotate` 的配置文件通常位于 `/etc/logrotate.conf` 和 `/etc/logrotate.d/` 目录下。`/etc/logrotate.conf` 是主配置文件，定义了全局的配置选项。`/etc/logrotate.d/` 目录下的文件通常是各个程序的配置文件，例如 Apache、rsyslog、nginx 等。
下面是一个 `logrotate` 配置文件的示例：`myapp` 的日志文件每天轮替，保留 5 份旧的日志文件。如果日志文件丢失或者为空，那么会忽略这个错误。轮替的日志文件会被压缩。新的日志文件将会以 0644 的权限创建，所有者为 root，组为 adm。每次日志轮替后，会重新加载 `myapp` 的配置。
```shell
/var/log/myapp/*.log {
daily
rotate 5
missingok
notifempty
compress
create 0644 root adm
sharedscripts
postrotate
/etc/init.d/myapp reload > /dev/null
endscript
}
```
| 选项 | 描述 | 示例 |
| --------------------------- | ------------------------------------------------------------ | ------------------------------------------------- |
| rotate | 指定你希望保存的旧日志文件的数量。 | `rotate 5` |
| daily/weekly/monthly/yearly | 定义了日志轮转的频率。 | `daily` |
| compress | 让 `logrotate` 使用 `gzip` 压缩旧的日志文件。 | `compress` |
| delaycompress | 让 `logrotate` 延迟压缩，直到下一次轮转周期。 | `delaycompress` |
| missingok | 如果日志文件丢失，`logrotate` 会忽略错误。 | `missingok` |
| notifempty | 如果日志文件为空，`logrotate` 会忽略它。 | `notifempty` |
| create mode owner group | 让 `logrotate` 创建新的日志文件，并设置指定的权限、所有者和组。 | `create 0644 root adm` |
| postrotate/endscript | 在 `postrotate` 和 `endscript` 之间的命令会在每次日志轮转之后执行。 | `postrotate /etc/init.d/apache2 reload endscript` |
| sharedscripts | 会使得 `logrotate` 对每个日志只运行一次 `postrotate` 脚本。 | `sharedscripts` |
### 高级管理
在大型环境中，可能需要管理和监控数十、数百甚至数千台服务器。在这种情况下，集中式日志管理变得非常重要。集中式日志管理允许你从一个位置收集和分析所有服务器的日志，这可以极大地提高故障排查的效率。
有多种工具可以帮助实现集中式日志管理，包括 Logstash、Graylog、Fluentd 等。这些工具可以收集各种来源的日志，对日志数据进行处理和分析，然后将数据转发到一个集中的位置，例如一个日志分析引擎或者一个存储系统。
例如，Logstash 是一个强大的日志收集、处理和转发的工具。它可以接收多种格式和来源的日志，然后将数据转发到 Elasticsearch、S3、Aiven 等各种目标。Logstash 支持多种输入插件，可以从 syslog、文件、HTTP、JDBC 等来源收集数据，同时，它也支持多种过滤插件，可以对数据进行解析、修改、丢弃等操作。
集中式日志管理通常与日志分析和可视化工具一起使用，例如 Kibana 或 Grafana，它们可以从集中的存储系统中提取数据，然后生成易于理解的图表和报告，这对于系统管理员和开发者了解系统的健康状况和性能非常有用。
## 日志监控
### 实时日志监控
#### Tail 命令
`tail` 命令在 Unix-like 系统中用于输出文件的尾部内容。它主要用于实时查看和监控日志文件的变化。
常用的 tail 命令示例：
```shell
# 查看文件的最后 10 行
tail /path/to/log
# 查看文件的最后 20 行
tail -n 20 /path/to/log
# 实时查看文件的变化
tail -f /path/to/log
```
#### Less 命令
`less` 是一个在 Unix-like 系统中用于查看文件内容的命令。相比于其他查看器，如 `more`，`less` 提供了更多的功能和灵活性。
Less 命令的一个重要特性是它允许用户向前和向后滚动查看文件。在 `less` 中，你可以使用 `Page Up` 和 `Page Down` 键来滚动查看文件，使用 `/` 来搜索文本，使用 `n` 和 `N` 来查找下一个和上一个匹配的文本。
在 less 中，你可以使用 `Shift + F` 来实时查看文件的变化，按 `Ctrl + C` 停止实时查看。
以下是一些常用的 less 命令示例：
```shell
# 查看文件
less /path/to/log
# 在文件中搜索文本
less /path/to/log
/keyword
# 实时查看文件的变化
less +F /path/to/log
```
#### Multitail 命令
`multitail` 是 `tail` 命令的一个改进版本，可以在 Unix-like 系统中同时监控和查看多个文件的变化。
Multitail 命令的主要特性是它可以分屏查看多个文件或命令的输出。你可以使用 `-i` 选项指定多个文件，例如 `multitail -i /path/to/log1 -i /path/to/log2`。
以下是一些常用的 multitail 命令示例：
```shell
# 同时查看两个文件的变化
multitail /path/to/log1 /path/to/log2
# 实时查看两个文件的变化
multitail -i /path/to/log1 -i /path/to/log2
```
#### Logwatch
Logwatch 是一个日志分析工具，它可以解析 Unix-like 系统的日志文件并生成易于理解的报告。
Logwatch 的主要特性是它可以定制报告的内容和格式，可以按照一定的时间间隔，如每天，每周等，发送报告。你可以通过配置文件来指定分析哪些日志文件，定义报告的内容，以及设置报告的发送方式等。
以下是一些常用的 Logwatch 命令和配置示例：
```shell
# 生成今天的报告
logwatch --range today
# 生成指定日期的报告
logwatch --range 'between -7 days and -1 days'
# 发送报告到指定的电子邮件
logwatch --mailto user@example.com
```
注意：以上命令可能需要根据你的系统和环境进行适当的修改和调整。
### 日志告警和通知
许多日志管理系统提供了告警和通知功能，当发生定义的事件或者满足某些条件时，它们可以发送通知。
#### Graylog
Graylog 是一个强大的日志管理系统，它有一个内置的告警系统。你可以定义规则，当日志消息匹配这些规则时，Graylog 可以发送电子邮件，或者通过 HTTP 请求触发其他的动作。
#### Logstash
Logstash 是一种数据处理管道，可以从多个源收集日志，转换这些日志，并发送到你选择的储存地。与 Elasticsearch 和 Kibana 结合，Logstash 可以提供强大的实时数据分析功能。如果你使用 Elasticsearch Watcher 或者 Kibana Alerting 插件，你可以定义复杂的告警条件，当满足这些条件时，可以发送电子邮件，短信，或者其他类型的通知。
## 日志分析
### 命令行工具
#### Grep 命令
`grep` 是 Unix 和类 Unix 系统中的一个强大的文本搜索工具，用于搜索匹配特定模式的行。在日志文件中，你可以使用 `grep` 来搜索出包含特定关键字的日志条目。
常见的 grep 命令示例：
```shell
shellCopy code# 在文件中搜索特定文本
grep 'text' /path/to/file
# 在文件中搜索，忽略大小写
grep -i 'text' /path/to/file
# 递归搜索目录中的所有文件
grep -r 'text' /path/to/dir
# 显示匹配文本的行数
grep -c 'text' /path/to/file
# 显示匹配和不匹配的行
grep -v 'text' /path/to/file
```
#### Awk 命令
`awk` 是一个功能强大的文本分析工具，主要用于生成报告和处理数据文件。它拥有强大的编程语言特性，可以处理复杂的任务。
常见的 awk 命令示例：
```shell
shellCopy code# 打印文件的第一列
awk '{print $1}' /path/to/file
# 计算文件的第一列的和
awk '{sum += $1} END {print sum}' /path/to/file
# 在文件中查找特定的文本
awk '/text/ {print $0}' /path/to/file
# 打印文件中的行数
awk 'END {print NR}' /path/to/file
```
#### Sed 命令
`sed`（流编辑器）是 Unix 和类 Unix 系统中的一个非常强大的文本处理工具。主要用于文本替换，删除，插入和其他文本转换任务。
常见的 sed 命令示例：
```shell
shellCopy code# 在文件中替换文本
sed 's/text/newtext/g' /path/to/file
# 在文件中删除行
sed '5d' /path/to/file # 删除第 5 行
sed '/text/d' /path/to/file # 删除包含 "text" 的行
# 插入文本
sed '5i\text' /path/to/file # 在第 5 行之前插入 "text"
sed '5a\text' /path/to/file # 在第 5 行之后插入 "text"
```
### 日志分析工具
一些专门的日志分析工具提供了更直观的方式来理解和探索你的日志数据。以下是一些常见的工具：
**GoAccess：** GoAccess 是一个开源的实时网站日志分析工具，它可以生成漂亮的终端和 HTML 报告。GoAccess 支持多种日志格式，包括 Nginx，Apache，Amazon S3 和 CloudFront。
**AWStats：** AWStats 是一个免费的强大的日志分析工具，主要用于分析 web、流媒体、ftp 或邮件服务器的日志。AWStats 可以生成各种统计报告，包括访问量、访问时间、访问者国家、搜索引擎引荐等。
**Elasticsearch：** Elasticsearch 是一个实时分布式搜索和分析引擎，常与 Logstash 和 Kibana 一起使用，形成 ELK 栈，用于集中式日志管理。Elasticsearch 可以存储、搜索和分析大量数据，而 Kibana 则为 Elasticsearch 提供了一个漂亮且强大的 web 界面，使得数据的探索和可视化变得更加容易。
## 其他相关技能
### 常见的日志消息和错误
理解日志的内容对于日志管理来说非常关键，它包括了解如何阅读和解释 Linux 系统日志、应用程序日志、安全日志等。每个日志条目通常都包含一些关键信息，如发生事件的时间戳，事件的来源（如服务或应用程序的名称），以及事件的描述。
例如，以下是一个系统日志条目的示例：
```shell
Jun 25 14:15:01 myhost CRON[12345]: (root) CMD (command)
```
在这个条目中，"Jun 25 14:15:01" 是事件的时间戳，"myhost" 是主机名，"CRON[12345]" 表示事件是由 cron 服务产生的，"[12345]" 是 cron 服务的进程 ID，"root" 是执行命令的用户，"CMD" 是事件类型（表示一个命令被执行），"(command)" 是被执行的命令。
最常见的一些错误消息：
| 错误消息 | 描述和可能的原因 |
| -------------------------------- | ------------------------------------------------------------ |
| Permission denied | 进程或用户试图访问他们没有权限的文件或目录。可能是文件的权限设置不正确，或者用户没有正确的权限。 |
| No such file or directory | 进程试图访问的文件或目录不存在。可能是文件或目录的路径错误，或者文件或目录已被删除。 |
| Connection refused | 进程试图连接到一个不接受连接的网络服务。可能是因为网络服务没有运行，或者防火墙设置阻止了连接。 |
| Cannot allocate memory | 系统无法分配足够的内存给进程。可能是因为系统的内存已经耗尽，或者进程已经超过了它的内存限制。 |
| Operation not permitted | 进程试图执行一个它没有权限的操作。例如，非 root 用户试图执行只有 root 用户才能执行的系统调用。 |
| File exists | 当进程试图创建一个已经存在的文件或目录时，可能会出现这个错误。 |
| Input/output error | 通常表示有硬件问题，可能是硬盘故障，或者文件系统错误。 |
| Network is unreachable | 当进程试图访问的网络不可用时，可能会出现这个错误。 |
| Resource temporarily unavailable | 系统的资源已经耗尽。例如，当系统的文件描述符，进程或线程已经达到上限时，可能会出现这个错误。 |
| Device or resource busy | 进程试图访问的设备或资源正在被其他进程使用。例如，当一个进程试图卸载一个正在被使用的文件系统时，可能会出现这个错误。 |
### 使用日志进行故障排除
日志是排查系统或应用程序问题的重要工具。通过分析日志，你可以了解问题发生的时间，影响的服务或应用程序，以及可能的原因。
对于简单的问题，如服务无法启动或应用程序崩溃，日志通常会提供足够的信息来确定问题的原因。例如，服务无法启动可能是因为配置文件错误，这种情况下，服务的日志通常会指出错误的配置项和行号。
对于更复杂的问题，可能需要结合其他工具和技术，如网络抓包、性能分析、以及核心转储分析等。
### 安全和合规性
日志提供了系统和用户行为的详细记录，对于安全审计和满足合规性要求非常重要。
例如，安全日志可以记录用户的登录和注销事件，文件的创建、修改和删除事件，以及其他可能的安全相关事件。通过分析这些日志，可以发现潜在的安全威胁，如未授权的访问，异常的行为等。
对于许多组织来说，合规性要求是必须遵守的。例如，许多行业和地区都有保留日志的法规要求，如 PCI DSS（用于处理信用卡数据的组织）和 GDPR（在欧洲运营的组织）。这些要求通常规定了必须记录的事件类型，日志的保留期限，以及日志的保护措施等。

534
Tech/operating-system/Linux/进阶/Linux 日志管理.md Normal file
View File

@ -0,0 +1,534 @@
---
title: Linux 日志管理
description: Linux 日志管理
keywords:
- Linux
- 日志管理
tags:
- Linux/进阶
author: 仲平
date: 2024-03-20
---
## 引言
在复杂的信息技术世界中，Linux 系统因其高效、稳定、开源的特性而广泛应用于服务器、云计算以及各类嵌入式系统中。有效的系统管理不仅要求对 Linux 系统有深入的理解，还需要掌握各种工具和技术以保证系统的可靠运行和高效故障排查。特别是日志管理，作为系统管理的核心部分，对于监控系统健康状况、分析系统问题具有不可或缺的作用。
## Linux 日志系统
Linux 日志文件是记录系统运行状态、软件错误信息、用户操作以及各种系统事件的文件。它们对于系统安全审计、故障诊断和性能分析等任务至关重要。
### 常见日志文件
Linux 系统中的日志文件通常存储在 `/var/log` 目录下。这个目录中有许多文件和子目录，用于记录各种不同类型的日志。以下是其中一些重要的日志文件：
1. `/var/log/syslog` 或 `/var/log/messages`：这两个文件通常包含系统和应用程序的所有非安全日志消息。哪个文件被使用取决于你的发行版和配置。
2. `/var/log/auth.log` 或 `/var/log/secure`：这些文件记录所有的安全授权信息，包括用户认证、sudo 操作等。
3. `/var/log/kern.log`：该文件记录所有的内核相关消息。
4. `/var/log/dmesg`：保存由 dmesg 命令显示的内核环形缓冲区的消息。
5. `/var/log/boot.log`：记录系统启动过程中的信息。
6. `/var/log/faillog`：这个文件记录所有的登录失败尝试。它可以帮助管理员跟踪并阻止潜在的非法活动。
7. `/var/log/maillog` 或 `/var/log/mail.log`：这两个文件记录与电子邮件系统相关的所有日志信息。包括邮件传送、接收，以及任何可能发生的错误。
8. `/var/log/journal/`：此目录包含了 systemd 日志服务（journald）的二进制日志文件。它们包含了系统启动以来的所有日志消息。
9. `/var/log/lastlog`：此文件记录了系统上每个账户的最后登录时间。管理员可以使用这个日志来跟踪用户活动。
10. `/var/log/wtmp` 和 `/var/log/btmp`：这两个文件分别记录了成功和失败的登录尝试。通过检查这些文件，管理员可以发现潜在的安全问题。
11. `/var/log/Xorg.0.log`：此文件记录了 X Window 系统的日志，主要用于调试 X 服务器的问题。
理解这些日志文件的内容和它们所在的位置，对于日常的系统维护、问题诊断和安全审计都非常重要。在实际使用中，还需要结合具体的发行版和配置，以及具体的应用程序和服务的需求，来进行灵活的操作和管理。
## 日志管理工具
### `journalctl` 日志管理
Systemd 是一个系统和服务管理器，它提供了对服务的并行启动、日志记录和系统初始化的能力。Systemd 使用 `journald`，一个日志收集守护进程，来收集和管理日志信息。与传统的基于文本文件的日志系统（如通过 `syslog` 或直接写入 `/var/log` 的方式）相比，`journald` 提供了一些优势：
- **集中管理**：`journald` 收集系统启动、应用程序和内核的日志信息，提供了一个统一的日志入口。
- **性能和可靠性**：`journald` 可以在系统崩溃后保留日志信息，提高了日志的可靠性。同时，它还支持日志的按需加载，改善了大量日志处理的性能问题。
- **高级查询**：通过 `journalctl` 工具，用户可以执行基于时间、服务、优先级等多维度的复杂日志查询，这在传统文本文件日志系统中难以实现。
#### 日志文件的变化
由于 `journald` 的引入，很多原本分散在 `/var/log` 中的日志文件，如 `auth.log`（用于记录认证日志）、`daemon.log`（用于记录系统守护进程的日志）等，现在可以通过 `journalctl` 命令统一查询。例如，原先查看 `auth.log` 的命令可能被替换为 `journalctl -u ssh.service`（查看 SSH 服务的日志）或者 `journalctl _SYSTEMD_UNIT=sshd.service`（同样的查询，但是使用不同的过滤方式）。
#### 常用命令
| 功能描述 | 命令示例 |
| --------------------------------------- | ---------------------------------------------- |
| 查看所有日志 | `journalctl` |
| 反向查看日志（最新的先显示） | `journalctl -r` |
| 查看特定服务的日志 | `journalctl -u 服务名.service` |
| 按时间查看日志 | `journalctl --since "YYYY-MM-DD HH:MM:SS"` |
| | `journalctl --until "YYYY-MM-DD HH:MM:SS"` |
| 实时跟踪日志输出 | `journalctl -f` |
| 查看此次启动的日志 | `journalctl -b` |
| 查看上一次启动的日志 | `journalctl -b -1` |
| 根据优先级过滤日志 | `journalctl -p err` (err, crit, warn, info 等) |
| 显示日志的尾部 N 条记录 | `journalctl -n 数量` |
| 过滤特定时间段的日志 | `journalctl --since "昨天" --until "今天"` |
| 过滤特定进程的日志 | `journalctl _PID=进程号` |
| 查看特定用户的日志 | `journalctl _UID=用户ID` |
| 合并多个日志文件显示 | `journalctl -m` |
| 查看内核消息 | `journalctl -k` |
| 过滤特定系统单元及其优先级的日志 | `journalctl -u 服务名.service -p err` |
| 显示日志的详细输出 | `journalctl -o verbose` |
| 使用导出格式查看日志 | `journalctl -o json` |
| 指定日志标识符（SYSLOG_IDENTIFIER）过滤 | `journalctl SYSLOG_IDENTIFIER=标识符` |
### `Logwatch` 日志分析工具
`Logwatch` 是一个高度可定制和灵活的日志分析工具，广泛用于 Linux 和 Unix 系统。它自动分析和报告系统日志文件中的重要信息，使系统管理员能够轻松识别常见问题和潜在安全威胁。Logwatch 能够处理各种服务的日志，如 Apache、SSH、FTP 以及系统安全日志等。
#### 主要特性
- **自动化日志分析**：自动分析系统中的各种日志文件，并生成易于理解的摘要报告。
- **高度可定制**：用户可以定制报告的内容、格式、详细程度以及报告周期，以满足不同的监控需求。
- **邮件报告**：可以将日志分析报告通过电子邮件发送给系统管理员，便于及时审查。
- **支持多种服务和应用**：Logwatch 具有广泛的服务和应用支持，包括但不限于系统安全、网络服务和邮件系统等。
#### 配置选项
Logwatch 的配置文件位于 `/usr/share/logwatch/default.conf/logwatch.conf`，也可以拷贝至 `/etc/logwatch/conf` 目录下，编写个人化配置文件。以下是一些可复用的 Logwatch 配置模板，你可以根据需求进行调整，并保存在 `/etc/logwatch/conf/` 目录下，以 `.conf` 结尾。例如：`custom.conf`。
```
# 设置详细等级
Detail = Low # 可选值：Low, Med, High
# 设置输出方式
Output = stdout # 可选值：stdout, mail
# 设置报告范围
Range = yesterday
# 指定接收报告的邮件地址
MailTo = admin@example.com
# 指定发件人邮件地址
MailFrom = logwatch@example.com
```
常见的命令选项包括：
| 选项 | 描述 |
| ------------ | ------------------------------------------------------------ |
| `--detail` | 设置报告的详细级别（Low, Med, High 或具体数字）。 |
| `--output` | 指定输出类型（stdout, mail, file）。 |
| `--format` | 指定报告格式（html, text） |
| `--mailto` | 当输出类型为 mail 时，指定接收报告的电子邮件地址。 |
| `--mailfrom` | 指定发送报告的电子邮件地址（仅当 `--output mail` 时有效）。 |
| `--range` | 指定报告的时间范围（today, yesterday, All, 或自定义范围如 `between -7 days and today`）。 |
| `--service` | 指定要包含在报告中的服务。多个服务可以通过重复此选项来指定。 |
| `--logfile` | 指定要分析的特定日志文件。多个日志文件可以通过重复此选项来指定。 |
| `--hostname` | 指定在报告中使用的主机名。 |
| `--config` | 指定一个自定义的配置文件路径（如前所述，这个选项实际上并不存在，配置应通过修改或添加 `/etc/logwatch/conf/` 目录下的文件来实现）。 |
| `--numeric` | 显示数字 IP 地址而不是主机名（对于某些服务日志）。 |
| `--archives` | 在分析日志时包括旧的日志档案。 |
| `--debug` | 打印调试信息，有助于故障排除。 |
#### Logwatch 日志命令
### `logrotate` 日志轮转
日志文件可以在短时间内变得非常大，尤其是当系统或应用程序产生大量日志信息时。一个大的日志文件不仅会占用大量的磁盘空间，也会使日志分析变得复杂和耗时。这就是为什么日志旋转变得非常重要。
日志旋转是一种解决方法，它会定期将旧的日志条目移动到新的文件中，同时管理和删除过旧的日志文件。在 Linux 系统中，这通常由 logrotate 实现。
`logrotate` 是一个用于管理日志文件的工具，它可以自动轮转、压缩、删除和邮件发送日志文件。在 Linux 系统中，许多程序都会生成日志文件，这些文件会随着时间的推移不断增长，`logrotate` 可以帮助系统管理员管理这些日志文件，防止它们占用过多的磁盘空间。
`logrotate` 的主要特性和功能：
- **日志轮转**：`logrotate` 可以按照日、周、月或者文件大小来轮转日志文件。这意味着当一个新的轮转周期开始时，当前的日志文件将被重命名，然后创建一个新的日志文件。例如，你可以配置 `logrotate` 每天轮转一次 `/var/log/messages` 文件，那么每天开始时，`/var/log/messages` 文件会被重命名为 `/var/log/messages.1`，然后创建一个新的 `/var/log/messages` 文件用于记录新的日志。
- **日志压缩**：`logrotate` 可以自动压缩旧的日志文件以节省磁盘空间。默认情况下，它使用 `gzip` 进行压缩，但也可以配置使用其他压缩工具。
- **删除旧的日志文件**：你可以配置 `logrotate` 自动删除超过一定时间的旧日志文件。例如，你可以配置 `logrotate` 只保留最近 30 天的日志文件。
- **邮件发送日志文件**：如果你希望保存被删除的日志文件，可以配置 `logrotate` 在删除之前将日志文件发送到一个指定的电子邮件地址。
`logrotate` 的配置文件通常位于 `/etc/logrotate.conf` 和 `/etc/logrotate.d/` 目录下。`/etc/logrotate.conf` 是主配置文件，定义了全局的配置选项。`/etc/logrotate.d/` 目录下的文件通常是各个程序的配置文件，例如 Apache、rsyslog、nginx 等。
下面是一个 `logrotate` 配置文件的示例：`myapp` 的日志文件每天轮替，保留 5 份旧的日志文件。如果日志文件丢失或者为空，那么会忽略这个错误。轮替的日志文件会被压缩。新的日志文件将会以 0644 的权限创建，所有者为 root，组为 adm。每次日志轮替后，会重新加载 `myapp` 的配置。
```shell
/var/log/myapp/*.log {
daily
rotate 5
missingok
notifempty
compress
create 0644 root adm
sharedscripts
postrotate
/etc/init.d/myapp reload > /dev/null
endscript
}
```
| 选项 | 描述 | 示例 |
| --------------------------- | ------------------------------------------------------------ | ------------------------------------------------- |
| rotate | 指定你希望保存的旧日志文件的数量。 | `rotate 5` |
| daily/weekly/monthly/yearly | 定义了日志轮转的频率。 | `daily` |
| compress | 让 `logrotate` 使用 `gzip` 压缩旧的日志文件。 | `compress` |
| delaycompress | 让 `logrotate` 延迟压缩，直到下一次轮转周期。 | `delaycompress` |
| missingok | 如果日志文件丢失，`logrotate` 会忽略错误。 | `missingok` |
| notifempty | 如果日志文件为空，`logrotate` 会忽略它。 | `notifempty` |
| create mode owner group | 让 `logrotate` 创建新的日志文件，并设置指定的权限、所有者和组。 | `create 0644 root adm` |
| postrotate/endscript | 在 `postrotate` 和 `endscript` 之间的命令会在每次日志轮转之后执行。 | `postrotate /etc/init.d/apache2 reload endscript` |
| sharedscripts | 会使得 `logrotate` 对每个日志只运行一次 `postrotate` 脚本。 | `sharedscripts` |
## 日志分析技巧
### `Grep` 文本搜索工具
`grep` 是 Unix 和类 Unix 系统中的一个强大的文本搜索工具，用于搜索匹配特定模式的行。在日志文件中，你可以使用 `grep` 来搜索出包含特定关键字的日志条目。
常见的 grep 命令示例：
```shell
shellCopy code# 在文件中搜索特定文本
grep 'text' /path/to/file
# 在文件中搜索，忽略大小写
grep -i 'text' /path/to/file
# 递归搜索目录中的所有文件
grep -r 'text' /path/to/dir
# 显示匹配文本的行数
grep -c 'text' /path/to/file
# 显示匹配和不匹配的行
grep -v 'text' /path/to/file
```
### `Awk` 文本分析工具
`awk` 是一个功能强大的文本分析工具，主要用于生成报告和处理数据文件。它拥有强大的编程语言特性，可以处理复杂的任务。
常见的 awk 命令示例：
```shell
shellCopy code# 打印文件的第一列
awk '{print $1}' /path/to/file
# 计算文件的第一列的和
awk '{sum += $1} END {print sum}' /path/to/file
# 在文件中查找特定的文本
awk '/text/ {print $0}' /path/to/file
# 打印文件中的行数
awk 'END {print NR}' /path/to/file
```
### `Sed` 文本处理工具
`sed`（流编辑器）是 Unix 和类 Unix 系统中的一个非常强大的文本处理工具。主要用于文本替换，删除，插入和其他文本转换任务。
常见的 sed 命令示例：
```shell
shellCopy code# 在文件中替换文本
sed 's/text/newtext/g' /path/to/file
# 在文件中删除行
sed '5d' /path/to/file # 删除第 5 行
sed '/text/d' /path/to/file # 删除包含 "text" 的行
# 插入文本
sed '5i\text' /path/to/file # 在第 5 行之前插入 "text"
sed '5a\text' /path/to/file # 在第 5 行之后插入 "text"
```
### `Head` 查看文件头部内容
`head` 命令在 Unix-like 系统中用于输出文件的头部内容。它主要用于快速查看文件的开始部分，对于检查日志文件、文本文件等的开头信息非常有用。
常用的 head 命令示例：
```shell
# 默认查看文件的前 10 行
head /path/to/file
# 查看文件的前 20 行
head -n 20 /path/to/file
```
### `Tail` 查看文件尾部内容
`tail` 命令在 Unix-like 系统中用于输出文件的尾部内容。它主要用于实时查看和监控日志文件的变化。
常用的 tail 命令示例：
```shell
# 默认查看文件的最后 10 行
tail /path/to/log
# 查看文件的最后 20 行
tail -n 20 /path/to/log
# 实时查看文件的变化
tail -f /path/to/log
```
### `Less` 查看文件内容
`less` 是一个在 Unix-like 系统中用于查看文件内容的命令。相比于其他查看器，如 `more`，`less` 提供了更多的功能和灵活性。
Less 命令的一个重要特性是它允许用户向前和向后滚动查看文件。在 `less` 中，你可以使用 `Page Up` 和 `Page Down` 键来滚动查看文件，使用 `/` 来搜索文本，使用 `n` 和 `N` 来查找下一个和上一个匹配的文本。
在 less 中，你可以使用 `Shift + F` 来实时查看文件的变化，按 `Ctrl + C` 停止实时查看。
以下是一些常用的 less 命令示例：
```shell
# 查看文件
less /path/to/log
# 在文件中搜索文本
less /path/to/log
/keyword
# 实时查看文件的变化
less +F /path/to/log
```
## 高级日志处理
日志处理是 Linux 系统管理的重要部分，用于监控系统行为，诊断问题，以及安全审计。高级日志处理涉及到日志服务器的配置使用，以及日志分析框架的应用。
### 日志服务器
`rsyslog` 和 `syslog-ng` 是两种广泛使用的日志服务器，这两种服务器都可以接收、处理和转发日志信息。
#### Rsyslog
`rsyslog` 是一个多线程的日志处理系统，提供了高性能、安全性、模块化和可配置性。`rsyslog` 的配置文件通常位于 `/etc/rsyslog.conf`，你可以在这个文件中定义日志的收集方式、存储位置以及转发规则等。
例如，如果你想配置 `rsyslog` 来接收远程日志，你需要在 `/etc/rsyslog.conf` 文件中添加以下行：
```
module(load="imudp")
input(type="imudp" port="514")
```
这将配置 `rsyslog` 来监听 UDP 端口 514，并接收该端口上的日志消息。
#### Syslog-ng
`syslog-ng` 是另一个强大的日志管理解决方案，它提供了更多的灵活性和功能，包括内容过滤、丰富的日志转换能力以及对各种日志格式的支持。`syslog-ng` 的配置文件通常位于 `/etc/syslog-ng/syslog-ng.conf`。
例如，你可以在 `syslog-ng` 的配置文件中添加以下行，以接收远程日志：
```
source s_net { udp(ip(0.0.0.0) port(514)); };
log { source(s_net); destination(d_local); };
```
这将配置 `syslog-ng` 来监听 UDP 端口 514，并将接收到的日志消息转发到本地的日志目的地 `d_local`。
#### 集中日志管理的实践
集中日志管理是指通过网络将所有服务器的日志集中到一个地方进行存储和分析。这样可以提高日志分析的效率，也可以提高数据安全性，因为日志信息不再分散在各个服务器上。
在 `rsyslog` 或 `syslog-ng` 中，你可以配置日志转发规则，将日志信息发送到日志服务器上。例如，在 `rsyslog` 中，你可以在 `/etc/rsyslog.conf` 文件中添加以下行，以将所有日志消息转发到远程服务器：
```
*.* @remote-host:514
```
在这个例子中，`*.*` 表示所有的设施和优先级，`@` 表示使用 UDP 协议，`remote-host` 是远程服务器的主机名或 IP 地址，`514` 是远程服务器上 `rsyslog` 服务的端口号。
在日志服务器上，你需要配置相应的服务，以接收和存储这些日志信息。此外，你还需要配置日志轮转，以防止日志文件占用过多的磁盘空间。你可以使用 `logrotate` 工具来配置日志轮转，例如，你可以在 `/etc/logrotate.conf` 文件中添加以下配置：
```
/var/log/syslog
{
rotate 7
daily
compress
postrotate
/usr/bin/killall -HUP syslogd
endscript
}
```
这个配置将每天轮转 `/var/log/syslog` 文件，保留 7 天的日志，将旧的日志文件压缩，轮转后发送 HUP 信号给 `syslogd` 进程，让它重新打开日志文件。
### 日志分析框架
日志分析框架是用于处理和分析大量日志数据的工具，其中最常用的是 ELK 栈。
#### ELK 栈（Elasticsearch, Logstash, Kibana）的安装和配置
ELK 栈是 Elasticsearch、Logstash 和 Kibana 的组合，它们一起提供了一个强大的日志分析框架。
- Elasticsearch 是一个基于 Lucene 的搜索和分析引擎，用于存储、搜索和分析大量的日志数据。
- Logstash 是一个强大的日志收集、处理和转发工具，它可以将日志数据从各种来源收集过来，然后进行处理，并将其发送到 Elasticsearch 或其他存储系统中。
- Kibana 是一个用于可视化 Elasticsearch 数据的 Web 界面，你可以通过 Kibana 创建各种图表和仪表板，以直观地展示和分析日志数据。
安装和配置 ELK 栈需要多个步骤，包括安装 Java 环境，下载和安装 Elasticsearch、Logstash 和 Kibana，以及配置它们的通信和安全性等。
#### 使用案例和最佳实践
使用 ELK 栈进行日志分析的案例有很多，例如，你可以使用它来分析 Web 服务器的访问日志，从而了解网站的访问量、访问者的地理位置、访问的高峰时段等信息。
或者，你也可以使用 ELK 栈来分析系统日志，以监控系统的运行状态，识别和预防可能的问题。
在使用 ELK 栈时，有一些最佳实践可以参考，例如：
- 使用 Logstash 的过滤插件来清洗和转换日志数据，以提高 Elasticsearch 的搜索和分析效率。
- 使用 Kibana 的仪表板功能来创建实时的系统监控界面。
- 为 Elasticsearch 配置适当的索引策略，以提高搜索效率并降低存储成本。
- 定期备份 Elasticsearch 的数据，以防止数据丢失。
## 故障排除实践
### 日志排错流程和方法
故障排除的第一步是查看相关日志，因为日志通常包含有关故障的关键信息。以下是一般的日志排错流程和方法：
1. **确定故障现象**：首先，要明确故障的具体表现和现象，例如服务无法启动、网络连接失败等。
2. **查看系统日志**：检查系统的核心日志文件，如 `/var/log/syslog`、`/var/log/messages`，以及应用程序的日志文件。查找与故障相关的错误消息、警告或异常。
3. **分析日志内容**：仔细阅读日志文件，查找关键字、错误代码或异常信息。注意日志文件中的时间戳，以确定故障发生的时间点。
4. **比对正常日志**：如果可能的话，对比故障发生之前的正常日志和故障发生时的异常日志，以找出变化和异常之处。
5. **查找解决方案**：根据日志中的错误消息或异常信息，使用搜索引擎、官方文档或社区论坛等资源，查找可能的解决方案。
6. **尝试修复故障**：根据找到的解决方案，尝试修复故障。在进行任何更改之前，确保备份相关文件和配置。
7. **验证修复效果**：修复故障后，验证系统是否恢复正常。检查相关服务的状态、功能和性能。
8. **记录故障和解决方案**：将故障和解决方案记录下来，以便将来参考。这对于建立故障知识库和提高故障排除效率非常有帮助。
### 常见故障案例
#### 服务启动失败
故障现象：某个服务无法启动，无法提供正常的功能和服务。
排除方法：
- 检查服务的日志文件，查找与启动失败相关的错误消息或异常信息。
- 确保服务的依赖项已安装并正确配置。
- 检查服务的配置文件，确保没有语法错误或配置问题。
- 检查服务的权限设置，确保对必要的文件和目录具有适当的权限。
- 尝试手动启动服务，并观察是否有错误消息或异常输出。
解决方案：
- 根据日志文件中的错误消息或异常信息，查找解决方案。
- 检查系统和服务的文档、社区论坛或官方支持渠道，寻求帮助和建议。
- 如果问题仍然存在，尝试重新安装服务或使用备份恢复系统。
#### 网络问题
故障现象：服务器无法与其他设备或互联网建立连接，网络服务不可用。
排除方法：
- 检查网络接口的状态和配置，确保网络接口已启用并正确配置。
- 使用 `ping` 命令检查与其他设备的连通性。
- 检查网络设备（如路由器、交换机）的状态和配置，确保网络设备正常工作。
- 检查防火墙规则和安全组配置，确保允许必要的网络流量通过。
解决方案：
- 根据网络设备的日志和错误消息，查找解决方案。
- 检查网络设备的文档、社区论坛或官方支持渠道，寻求帮助和建议。
- 如果问题仍然存在，尝试重新配置网络设备或与网络管理员协商解决。
#### 安全和权限问题
故障现象：访问被拒绝，无法执行某些操作，权限不足等安全或权限相关的问题。
排除方法：
- 检查访问被拒绝的错误消息和日志，查找与权限相关的信息。
- 确保使用正确的身份验证凭据进行访问，检查用户名和密码是否正确。
- 检查文件和目录的权限设置，确保有足够的权限执行所需的操作。
- 检查安全策略和访问控制列表（ACL），确保允许所需的访问权限。
解决方案：
- 根据错误消息和日志中的信息，查找解决方案。
- 检查系统和应用程序的文档、安全指南或官方支持渠道，寻求帮助和建议。
- 如果问题涉及到安全漏洞，及时更新系统、应用程序或补丁，以修复漏洞。
## 安全和审计日志
安全和审计日志对于保护系统安全和识别潜在的安全威胁非常重要。
安全日志监控是指对系统和应用程序的安全事件进行实时监控和记录，以便及时发现和应对潜在的安全威胁。以下是安全日志监控的重要性：
- **威胁检测和响应**：通过监控安全日志，可以及时检测到潜在的安全威胁，例如入侵尝试、异常登录、恶意代码等。及早发现威胁并采取相应的响应措施，可以减少损失和风险。
- **事件调查和取证**：安全日志记录了系统和应用程序的关键事件，可以用于后续的事件调查和取证。当发生安全事件时，可以通过分析安全日志来了解事件的起因、影响和相关的活动。
- **合规性和法规要求**：许多行业和组织需要遵守特定的合规性和法规要求，其中包括对安全日志的监控和记录。通过对安全日志进行监控，可以满足合规性要求，并提供给审核人员进行审计。
### 使用 `auditd` 进行系统审计
`auditd` 是 Linux 系统中的一个审计框架，可以用于记录系统和应用程序的安全事件。它提供了强大的审计功能，可以配置和记录各种事件，如文件访问、用户登录、进程创建等。
#### 审计日志的配置和分析
要使用 `auditd` 进行系统审计，需要进行以下配置和分析步骤：
1. **安装和启动 `auditd`**：首先，需要安装 `auditd` 软件包，并启动 `auditd` 服务。具体的安装和启动方法取决于所使用的 Linux 发行版。
2. **配置审计规则**：通过编辑 `auditd` 的配置文件，可以定义需要审计的事件和规则。配置文件通常位于 `/etc/audit/auditd.conf` 或 `/etc/audit/rules.d/` 目录下。
3. **启用审计规则**：使用 `auditctl` 命令加载和启用审计规则。例如，可以使用以下命令启用一个规则来监控文件的访问：
```
auditctl -w /path/to/file -p rwxa
```
这将监控指定文件的读取、写入、执行和属性更改。
4. **审计日志的分析**：审计日志通常存储在 `/var/log/audit/audit.log` 文件中。可以使用工具如 `ausearch` 和 `aureport` 来分析和查询审计日志。下面将详细介绍这两个工具。
#### `ausearch` 和 `aureport` 工具的使用
`ausearch` 和 `aureport` 是 `auditd` 提供的两个用于审计日志分析的工具。
- **`ausearch`**：`ausearch` 工具用于在审计日志中进行高级搜索和过滤。它可以根据时间、进程、文件、用户等条件来查询特定的审计事件。以下是一些常用的 `ausearch` 命令示例：
- 搜索特定时间范围内的事件：
```
ausearch -ts <start_time> -te <end_time>
```
- 搜索特定用户的事件：
```
ausearch -m USER_LOGIN -k <username>
```
- 搜索特定文件的事件：
```
ausearch -f /path/to/file
```
- **`aureport`**：`aureport` 工具用于生成审计日志的报告和摘要信息。它可以提供关于审计事件的统计数据、趋势分析和可视化图表。以下是一些常用的 `aureport` 命令示例：
- 生成文件访问统计报告：
```
aureport -f
```
- 生成用户登录统计报告：
```
aureport -l
```
- 生成系统调用统计报告：
```
aureport -s
```
通过使用 `ausearch` 和 `aureport` 工具，可以对审计日志进行深入的分析和查询，以便了解系统中发生的安全事件和活动。

9
Tech/operating-system/Linux/进阶/Linux 网络配置.md
View File

@ -30,7 +30,7 @@ date: 2023-04-10
- 网关（GetWay）：连接不同网络的设备，通常是路由器。
- 域名系统（DNS ）：将域名解析为 IP 地址的服务。
### ip
### Ip
ip 命令是 Linux 系统中用于管理网络设备、地址、路由等网络设置的一个强大工具。它是 iproute2 软件包的一部分，由 Alexey N. Kuznetsov 开发，首次发布于 1999 年。ip 命令的设计目的是替代原有的 ifconfig、route 等传统网络配置工具，提供更灵活、功能强大的解决方案。
@ -154,11 +154,11 @@ NetworkManager是由Red Hat公司开发的一款用于管理Linux操作系统上
NetworkManager 展现了其在管理网络连接和网络接口方面的核心能力，提供了一整套综合工具，大大简化了网络设置的复杂性。用户得以轻松添加、修改、启用或禁用各类网络连接，包括有线和无线网络，乃至虚拟私人网络（VPN）。其核心由负责监控和管理网络的后台守护进程、提供直观操作的图形界面以及功能强大的命令行界面组成，还包括管理设备驱动和处理连接请求的高效后端服务。在用户进行网络设置调整时，NetworkManager 自动更新相关配置文件，确保网络设置的一致性和准确性得到坚实保障。借助灵活的插件体系和高效的 D-Bus 通信机制，NetworkManager 能够轻松处理多种类型的网络连接，将配置和管理过程自动化，从而提供了一个无缝、直观且高度可靠的网络管理解决方案。
#### nmcli
#### Nmcli
`nmcli` 是 NetworkManager 的命令行界面，提供了全面的功能来管理网络。用户可以通过它快速创建、修改和监控网络连接。无论是列出网络设备状态，管理网络连接，设置静态 IP，还是管理 VPN 和其他特殊连接，`nmcli` 都能提供强大支持。
#### nmtui
#### Nmtui
对于那些偏好图形界面或在终端中工作的用户，`nmtui` 提供了一个简单直观的解决方案。这个交互式的文本界面应用使得配置 NetworkManager 控制的网络设置变得轻松。它的直观操作和无需鼠标的特性，使得 `nmtui` 成为 SSH 会话和终端窗口中理想的网络管理工具。
@ -546,7 +546,7 @@ firewall-cmd --reload
在 Linux 环境下，`iptables`，`nftables`，`ufw` 和 `firewalld` 都是常用的防火墙工具，每种工具都有其独特的优点和使用场景：
| iptables | nftables | ufw | firewalld | |
| | iptables | nftables | ufw | firewalld |
| -------------- | ------------ | ------------ | ---------- | ----------------- |
| 发布日期 | 1998 | 2014 | 2008 | 2011 |
| 操作复杂度 | 高 | 中 | 低 | 中 |
@ -568,7 +568,6 @@ firewall-cmd --reload
**总的来说，您应该根据您的特定需求和技能水平选择最适合的防火墙工具。**对于初学者和只需要基本防火墙功能的用户来说，`ufw` 可能是最好的选择。对于需要进行精细控制和高级配置的用户，`iptables` 和 `nftables` 可能更合适。如果您需要一种同时提供强大功能和易用性的防火墙工具，那么 `firewalld` 可能是最好的选择。
## 网络优化
### 网络带宽管理