Linux 系統日誌檔案分布及檢視方法

背景介紹：

在日常使用linux系統的過程中，經常會有一些「詭異」的現象，讓人百思不得其解。。。

比如我前幾天裝了個centos7 minimal，裝完後sshd服務設為自啟動，然後也沒有關機操作。。。

連續兩天，給我發現整這齣。。。

納尼？？？被牛鬼蛇神控制了？？？

經過一些列的排查後，我發現是waf對sshd服務做了一些更改。。。

這裡我收穫了乙個比較清晰的思路：

原始碼--->tar（安裝前）--->service（安裝後）

總之就是從這兩天的系統日誌裡定位到了：

1、從中作梗的「服務名稱」

2、服務程序關閉的時間，是否有規律？

然後就是根據這個去深入定位，是哪一段的**或者配置檔案在「作祟」？？？編譯前的**段是哪些？？？編譯後的配置引數在**控制？？？

做到有條理的去排查問題，思路很重要！！！

正文：

一、linux系統日誌的三種型別

1.核心及系統日誌

這種日誌資料由系統服務rsyslog統一管理，根據其主配置檔案/etc/rsyslog.conf中的設定決定將核心訊息及各種系統程式訊息記錄到什麼位置。系統中有相當一部分程式會把日誌檔案交由rsyslog管理，因而這些程式使用的日誌記錄也具有相似的格式。

2.使用者日誌

3.程式日誌

有些應用程式會選擇由自己獨立管理乙份日誌檔案，用於記錄本程式執行過程中的各種事件資訊，而不是交給rsyslog服務管理。由於這些程式只負責管理自己的日誌檔案，因此不同程式所使用的日誌記錄格式可能會存在較大的差異。

二、linux系統常見的日誌檔案

路徑1：/var/log/messages：記錄 linux 核心訊息及各種應用程式的公共日誌資訊

路徑2：/var/log/cron：記錄 crond 計畫任務產生的事件資訊

路徑3：/var/log/dmesg：記錄 linux 作業系統在引導過程中的各種事件資訊

路徑4：/var/log/maillog：記錄進入或發出系統的電子郵件活動

路徑5：/var/log/lastlog：記錄每個使用者最近的登入事件

路徑6：/var/log/secure：記錄使用者認證相關的安全事件資訊

路徑7：/var/log/wtmp：記錄每個使用者登入、登出及系統啟動和停機事件

路徑8：/var/log/btmp：記錄失敗的、錯誤的登入嘗試及驗證事件

三、linux系統日誌的優先級別數字等級越小，優先順序越高，訊息越重要。

四、補充：檢視使用systemctl啟動日誌

1、檢視啟動日誌

journalctl -f或者 journalctl -xe

2、檢視所有已啟動服務