linux中的日志文件 日志的采集，日志远程同步 时间的同步 (时间源服务器) | rsyslog,journald
hostnamectl set-hostname name ##修改hostname主机名###通常修改为node1.example.com的形式
###在企业里面通常叫结点而不 叫主机
ps aux | grep 名称（关键字） ##常用的查看某服务的进程
系统默认普通用户不能查看日志
1，
rsyslog日志采集工具
注意：日志是在内存的，rsyslog是把他放在硬盘里面
vim /etc/rsyslog.conf ##配置日志采集工具
日志类型.日志级别
日志类型
auth 用户登陆日志（pam产生日志）
authpriv 服务认证日志（sshd认证）
kern 内核日志
cron 定时任务日志
lpr 打印机日志
mail 邮件日志
news 新闻
user 用户相关程序日志
local 1-7 用户自定义日志
# ##Save boot messages also to boot.log
local7.* /var/log/boot.log
日志级别
debug 系统调式信息
info 常规信息
waring 警告信息
err 报错（级别底，阻止了某个功能不能正常工作）
crit 报错（级别高，阻止了整个软件或整个系统不能正常工作）
alert 需要立即修改信息
emerg 内核奔溃
none 不采集任何信息
auth.debug /var/log/linux##这个是指把系统的 用户系统日志的 系统调试信息
##保存在这个文件内，这就是用户自定义的文件
*.* /var/log/log.all###所有日志类型的所有级别都保存在这个文件
mail.none 是不包括mail的意思
系统常用日志
/var/log/messages ##所有日志级别的常规信息（不包含邮件，服务认证，定时任务等）
/var/log/mail ##邮件日志##这个的查看和上面这些的配置文件的修改都可以在
##/etc/rsyslog.conf里面查看
/var/log/secure ##服务认证日志
/var/log/cron ##定时任务日志
自定义位置
*.info;mail.none;authpriv.none;cron.none /var/log/messages##系统默认
*.* /var/log/westos##自定义位置在westos
####vim /var/log/messages是看不见的sshd认证日志，例如登陆ip等等，因为这里面authpriv的内型是none，
但是/var/log/westos是能看见的，因为这个类型是*，是所有，包括authpriv 服务认证日志（sshd认证）######
systemctl stop rsyslog.service ##不让这个服务进行采集信息，但是其实还会记住的只是在/var/log/messages
或者/var/log/westos这些配置文件看不见，当你重新开启服务后，这里面的信息又会全部加载出来
2，日志的远程同步
做实验之前注意执行 > /etc/rc.d/rc.local 清除这个脚本文件
通过man 5 rsyslog.conf可以看到远程同步其实是有两种方式
tcp 稳定 *.* @@ip
udp 速度快 *.* @ip
在日志发送方
vim /etc/rsyslog.conf
*.* @ip 日志接受方地址 #####如果用tcp就是@@，但是一般我们用udp
systemctl restart rsyslog 改掉配置文件之后要重启，同时这个本身会生成日志文件，方便在接受方直接查看
在日志接受方
vim /etc/rsyslog.conf
$ModLoad imudp ##去掉前面的#号##15行
$UDPServerRun 514 ##这俩是同步服务的插件，启用插件##16行
systemctl restart rsyslog.service 改掉配置文件之后要重启
systemctl stop firewalld.service 关闭防火墙，使日志能够进来
systemctl disable firewalld.service 开机不打开防火墙
#####客户端和服务端两个作通信要关闭防火墙###
如图，node2已经可以接受到node1的日志
3,定义日志采集格式（在哪个端口查看就在哪个端口定义）
vim /etc/rsyslog.conf
在RULES下面写
$template 格式名称，“日志采集格式” ####格式名称随便起
$template westos,"%timegenerated% %FROMHOST-IP% %syslogtag% %msg%\n"
%timegenerated% 日志生成时间
%FROMHOST-IP% 日志来源主机的ip
%syslogtag% 日志生成程序
%msg% 日志内容
\n 换行
然后在进行如下设置
*.info;mail.none;authpriv.none;cron.none /var/log/messages;westos####westos就是格式名称，随便起
注意修改配置文件之后要重启服务器！！！
4,日志查看
journalctl ##不能查看同步过来的，只查看本机的，内存的日志
journalctl -n 3 查看最新的3条日志
journalctl -p err 查看错误信息
journalctl -f 实时展现最新的日志，监控
journalctl --since 01:39:58 查看自从01:39:58之后的日志
journalctl --since 01:39:58 --until 01:49:58 查看这个时间段的日志
journalctl -o verbose 查看日志详细参数 打开之后可以用/来查找pid ,比如知道之前某个服务的pid=651，就可以用 journalctl _pid=651来查看详细信息
对systemd_journald管理
默认此程序只负责对日志进行查看而不对日志进行保存和采集
那么在关机后在开机（reboot），对日志进行查看，只能查看到开机后的日志，之前的是看不见的
日志因为是保存在内存中的，所以关机后就被清空了，那么再开机用journalctl是看不到之前的
5
如何让systemd-journald 保存日志到硬盘
mkdir /var/log/journal
chgrp systemd-journal /var/log/journal/ ###设置组
chmod g+s /var/log/journal/ ##g+s 是对目录下面的文件权限进行递归，
确保这个目录下面的文件都能被systemd-journal读取（可以用vim /etc/group查看
这个组确实是存在的）
##在这个目录下面会自动新建一个目录，可以看到组都是systemd-journal
killall -1 systemd-journald####在不关闭文件的情况下，刷新一次（kill -1 是刷新）
重新读取配置文件，此时会在/var/log/journal/下面
创建一个很长名称的目录，该目录下保存的两个文件保存的都是数据
journalctl -n 3 ##查看最新三行
date
reboot##重启虚拟机
journalctl ##如果在date之前那个时间能显示，那么就成功
6，
时间同步
在服务器端:
systemctl stop firewalld##关掉防火墙
vim /etc/chrony.conf
local stratum 10 ##开启时间共享功能并设定共享级别##29行##
##这个参数开启后本机不会同步别人的时间到本机，且本机是时间源服务器
allow 172.25.254.0/24 ##0/24是指允许前三段一样的来访问共享本机时间##22行###
timedatectl set-time "02:22:22" ##修改时间
systemctl restart chronyd.service ##重启##先关防火墙后重启##注意这是两个端口的通信
###接受端要关闭防火墙
在客户端：
vim /etc/chrony.conf
server 172.25.254.147 iburst ##同步172.25.254.147主机的时间##dd删除其余三行
systemctl restart chronyd.service ###重启服务
chronyc sources -v ###刷新一下，如果左下角是^*那么就是对的
此时用watch -n 1 date 监控两个node的时间，发现一样