搭建rsyslog日志服务器和loganalyzer日志分析工具.docx

rsyslogQ志效劳器和IOgalIaIyZer目志分析工具一、rsyslog的介绍3rsyslog目志效劳器的优势：3rsyslog的新功能：3rsyslog的软件包3rsyslog配建<+(etcrsyslog.conf)的详解5二、Iogrotate日志滚动的介绍8Iogrotate的软件包8IOgrotate的面乙置文件etclogrotate.conf详斛9三、rsyslog的存储途径10a3日志存储在指定的文件中10b日志存储在指定的rsyslog效劳器中11rsyslog客户端的配置：12rsyslog效劳器的配置：12rsyslog+Mysql效劳器端的配置：15rsyslog客户端的配置：19验证客户端的日志文件存放位置：20四、基于Web的Ioganalyzer日志分析工具的搭建21rsyslog效芬器的配置步骤：211、安装d,php,php-gd,php-mysql212、下载Ioganalyzer源码包223、执行脚本234、修改d的配置文件，新建一个虚拟主机235、重启效劳，创立IoganaIyZer的数据库，并授权23246、安装IoganalyzerLinux的日志记录了用户在系统上一切操作，看日志去分析系统的状态是运维人员必须掌握的根本功。rsyslog日志效劳器的优势：1、日志统一，集中式管理2、日志实时传送到一个更加平安的远端效劳器上，真正记录用户行为，使日志的2次更改可能性大大降低，从而能够对日志进行真实回放，便于问题追踪。rsyslog的新功能：rsyslog是一个加强版的SySIog,具有各种各样的新功能，典型的有：1、直接将日志写入到数据库。2、日志队列（内存队列和磁盘队列）。3、灵活的模板机制，可以得到多种输出格式。4、插件式结构，多种多样的输入、输出模块。5、可以把日志存放在Mysql,PostgreSQL,Orade等数据库中rsyslog的软件包rootjielrpm-qagreprsyslogrsyslog-5.8.10-6.el6.x86_64#软件包系统默认已经安装rootjiel#rpm-qlrsyslog#只显示了局部信息etclogrotate.dsyslogetcrsyslog.conf#rsyslog的配置文件lib64rsyslogimklog.soMsyslog的模块，i开头的是输入模块lib64rsyslogimmark.solib64rsyslogimpstats.solib64rsyslogimptcp.solib64rsyslogimtcp.solib64rsyslogimudp.solib64rsyslogimuxsock.solib64rsysloglmnet.solib64rsysloglmnetstrms.so/Iib64/rsyslog/lmnsd_ptcp.solib64rsysloglmregexp.solib64rsysloglmstrmsrv.solib64rsysloglmtcpclt.solib64rsysloglmtcpsrv.solib64rsysloglmzlibw.solib64rsyslogommail.so#0开头的模块是输出模块lib64rsyslogomprog.solib64rsyslogomruleset.solib64rsyslogomtesting.solib64rsyslogpmlastmsg.sorsyslog配置文件(etcrsyslog.conf)的详解#MODULES日志的模块#SModLoadimuxsock#imUXSOCk是模块名，支持本地系统日志的模块SModLoadimklog#imklog是模块名，支持内核日志的模块#$ModLoadimmark#immark是模块名，支持日志标记#$ModLoadimudp#imUPd是模块名，支持UdP协议#$lJDPSerVerRUn514#允许514端口接收使用UDP和TCP协议转发过来的日志#$MOdLoadimtcp#imtcp是模块名，支持tcp协议#$lnputTCPServerRun514#GLOBALDIRECTIVES#定义全局日志格式的指令SActionFiIeDefauItTempIateRSYSLOGJraditiOnaIFileFormat#定义日志格式默认模板SlncIudeConfigetcrsyslog.d*.conf#载入rsyslog.d文件中所有以conf结尾的文件#RULES#*.info;mail.none;authpriv.none;cron.nonevarlogmessages#记录所有日志类型的info级别以及大于info级别的信息到varlogmessages,但是mail邮件信息，authpriv验证方面的信息和Cron时间#任务相关的信息除外aUthpriv.*varlogsecureIIthPriV验证相关的所有信息存放在var/logSeCUremail.*varlogmaillog#邮件的所有信息存放在varlogmaillog;这里有一个-符号，表示是使用异步的方式记录，因为日志一般会比拟大/cron*.emerg*（*表示所有用户）#记录所有的大于等于emerg级别信息，以wall方式发送给每个登录到系统的人uucp,news.critvarlogspooler#记录uucp,news.crit等存放在varlogSPOoIerIocal7.*varlogboot.log#本地效劳器的启动的所有日志存放在varlogboot.log中#rsyslog.conf中日志规那么的定义的格式facitlity.priorityTarget#facility:日志设备（可以理解为日志类型）：auth#Pam产生的日志，认证日志authpriv#ssh,ftp等登录信息的验证信息，认证授权认证cron#时间任务相关kern#内核Ipr#打印mail#邮件mark（syslog）#rsyslog效劳内部的信息,时间标识news#新闻组user#用户程序产生的相关信息UUCP#iIniXtouni×copy,uni×主机之间相关的通讯local1-7#自定义的日志设备#priority:级别日志级别:debug#有调式信息的，日志信息最多info#一般信息的日志，最常用notice#最具有重要性的普通条件的信息warning,warn#警告级别ereerror#错误级别，阻止某个功能或者模块不能正常工作的信息crit#严重级别，阻止整个系统或者整个软件不能正常工作的信息alert#需要立刻修改的信息emergzpanic#内核崩溃等严重信息#从上到下，级别从低到高，记录的信息越来越少，如果设置的日志内性为err,那么日志不会记录比err级别低的日志，只会记录比err更高级别的日志，也包括err本身的日*心、OTarget：#文件，lvarlogmessages#用户，root,*（表示所有用户）暗道ICOMMAND二、IOgrOtate日志滚动的介绍所有的日志文件都会随着时间的推移和访问次数的增加而迅速增长，因此必须对日志文件进行定期清理以免造成磁盘空间的不必要的浪费，同时也加快了管理员查看日志所用的时间。因而Iogrotate就非常有存在的必要了，Redhat系统中已经默然安装Iogrotate且利用Iogrotate设置了相关对rsyslog日志迅速增长的设置。IOgrOtate的执行由Crond效劳实现。在etccron.daily目录中，有个文IogrOtate,它实际上是个shellscript,用来启动Iogrotate0IogrOtate程序每天由CrOn在指定的时间(/etc/CrOntab)启动。Iogrotate的软件包rootjiel#rpm-qagrepIogrotatelogrotate-3.7.8-16.el6.×86,64#日志回滚的软件包默认已经安装rootjiel#rpm-qlIogrotateetccron.dailylogrotateetclogrotate.conf#日志回滚的配置文件etclogrotate.d#日志回滚的子目录usrsbinlogrotatevarliblogrotate.statusIogrotate的配置文件etclogrotate.conf详斛rootjiel#sed-e7A#/d'-e'/A$/d'etclogrotate.confweekly#每周清理一次日志文件rotate4#保存四个轮换日志create#去除旧日志的同时，创立新的空日志文件datee×t#使用日期为后缀的回滚文件#可以去varlog目录下看看includeetclogrotate.d#包含etclogrotate.d目录下的所有配置文件varlogwtmp（varlogwtmp这个日志文件按照下面的设定日志回滚monthly#每月轮转一次create0664rootutmp#设置WtmP这个日志文件的权限，属主，属组minsizeIM#日志文件必须大于IM才会去轮换（回滚）rotate1#保存一个轮换日志)varlogbtmp#如果文件丧失不报错missingokmonthlycreate0600rootutmprotate1rootjielcatetclogrotate.dsyslogvarlogcron#这些文件是rsyslog.conf文件中全局配置定义中指定的Target的路径varlogmaillogvarlogmessagesvarlogsecurevarlogspooler(Sharedscriptspostrotate#轮换之后重启rsyslog效劳binkill-HUPcatvarrunsyslogd.pid2>devnul2>devnull11trueendscript)三、rsyslog的存储途径a日志存储在指定的文件中rootjiel#vimetcrsyslog.conf#=注释掉两行，然后添加一行#*.info;mail.none;authpriv.none;cron.nonevarlogmessages*.*/systemlog/jie.logftauthpriv.*varlogsecure#