《UNIX/Linux系统管理技术手册-读书笔记-第十章

日志

1. 日志概述

日志位置：默认/var/log，建议独立分区防止日志写满根文件系统。

2. systemd journal（Linux systemd 原生日志）

2.1 核心特性

2.2 journalctl 常用命令

2.3 journald配置（持久化 + 密封）

配置文件：/etc/systemd/journald.conf + /etc/systemd/journald.conf.d/*.conf

关键配置项：

启用持久化：

1
2

mkdir -p /var/log/journal
systemctl restart systemd-journald

或通过配置文件：

1
2
3

mkdir -p /etc/systemd/journald.conf.d
echo -e "[Journal]\nStorage=persistent" > /etc/systemd/journald.conf.d/storage.conf
systemctl restart systemd-journald

FSS密钥（防篡改）：

1

journalctl --setup-keys   # 生成密钥对

3. syslog / rsyslog

3.1 rsyslog 概述

3.2 rsyslog 配置语法（三种）

3.3 设施（Facility）与严重级别（Severity）

设施（信息来源） ：

严重级别（递减） ：

3.4 常见配置示例

1. 基础配置（sysklogd格式） ：

# 所有认证消息写入auth.log
auth.*                          /var/log/auth.log

# 所有设施.info及以上，排除mail/authpriv/cron
*.info;mail.none;authpriv.none;cron.none  /var/log/messages

# 内核关键消息写入控制台
kern.crit                       /dev/console

2. 网络转发客户端（RainerScript） ：

# 转发所有syslog消息到中央服务器（TCP）
*.*  @@logs.admin.com

# 通过imfile导入Apache日志
module(load="imfile" mode="inotify")
input(type="imfile" Tag="apache-access" File="/var/log/apache2/access.log")

# 转发带标签的日志
if $programname contains 'apache' then {
    action(type="omfwd" Target="logs.admin.com" Port="514" Protocol="tcp")
}

3. 中央日志服务器 ：

# 载入TCP输入模块
module(load="imtcp" MaxSessions="500")
input(type="imtcp" port="514")

# 按程序名分文件存储
if $programname == 'apache-access' then {
    action(type="omfile" file="/var/log/site/apache/access.log")
} else {
    action(type="omfile" file="/var/log/site/syslog")
}

3.5 syslog + TLS加密

服务器端：

global(
    defaultNetstreamDriver="gtls"
    defaultNetstreamDriverCAFile="/etc/ssl/ca/ca.pem"
    defaultNetstreamDriverCertFile="/etc/ssl/certs/server.pem"
    defaultNetstreamDriverKeyFile="/etc/ssl/private/server.key"
)
module(load="imtcp" streamDriver.name="gtls" streamDriver.mode="1")
input(type="imtcp" port="6514")

客户端：

global(defaultNetstreamDriver="gtls" ...)
*.* action(type="omfwd" Protocol="tcp" Target="logs.admin.com" Port="6514"
          StreamDriverMode="1" StreamDriver="gtls")

3.6 调试与测试

1
2
3
4
5
6
7
8

# 测试日志发送
logger -p local5.warning "test message"

# 重启rsyslog使配置生效
systemctl restart rsyslog

# 查看rsyslog自身日志
journalctl -u rsyslog

4. 内核与引导日志

控制台日志级别：1=panic，2=alert，3=crit，4=err，5=warning，6=notice，7=info，8=debug

5. 日志轮替（Log Rotation）

5.1 logrotate（Linux主流）

常用选项：

示例：

/var/log/messages {
    rotate 5
    weekly
    postrotate
        /bin/kill -HUP `cat /var/run/rsyslogd.pid`
    endscript
}

/var/log/samba/*.log {
    notifempty
    copytruncate
    sharedscripts
    postrotate
        /bin/kill -HUP `cat /var/lock/samba/*.pid`
    endscript
}

5.2 FreeBSD newsyslog

6. 大规模日志管理

6.1 ELK Stack（Elasticsearch + Logstash + Kibana）

数据流：应用日志 → Filebeat/rsyslog → Logstash → Elasticsearch → Kibana

适用规模：单节点到数十节点集群，每秒数千事件

6.2 Graylog

6.3 商业/云日志服务

7. 日志记录策略（合规与留存）

7.1 关键设计问题

• 涉及多少系统/应用？存储基础设施？
• 日志留存多长时间？（PCI DSS要求：在线3个月，归档1年）
• 哪些类型的事件重要？（失败登录、敏感数据修改、权限变更等）

7.2 应记录的关键信息

7.3 集中式日志的门槛

建议：20台以上服务器考虑集中式日志。小于此规模，做好本地轮替+监控即可。

7.4 安全与访问控制

• 限制中央日志服务器的shell访问（仅管理员+安全团队）
• 访问日志文件本身也应记入日志
• 使用TLS加密网络日志传输（rsyslog + gtls）
• 使用FSS（Forward Secure Sealing）防篡改

8. 本章核心命令速查表

DBA视角补充：

• 数据库日志是DBA的第一道防线：MySQL的error.log、slow.log、binlog，PostgreSQL的postgresql.log，Oracle的alert.log都应纳入监控和轮替策略。建议使用logrotate管理这些日志，避免磁盘写满导致数据库hang住。
• 慢查询日志是性能调优的核心数据源，应配置足够长的保留周期（如30天）以便周期性分析。
• 审计日志（如MySQL的audit插件、PostgreSQL的pgAudit）满足合规要求，但会产生大量数据，需评估存储成本与留存策略。
• binlog/redo log是数据库恢复的关键，不能使用logrotate轮替，由数据库自身管理。不要混淆应用日志和事务日志。
• 集中式日志价值：多数据库实例（如分库分表环境）的日志汇总到ELK，可大幅提升跨库问题排查效率。慢查询日志统一收集后可进行全局TOP N分析。
• 日志级别调优：生产数据库建议warning级别以上，debug级别会严重影响性能；排查问题时临时开启，事毕立即恢复。