syslog的初级教程

出处:Linux系统管理手册

笔记:Zauc


syslogxnix最为重要和最有特点的一个工具。它几乎可以把你想记录的日志都记录下来。系统默认的记录位置一般为/var/log/下。

但是每个发行版本默认所记录的内容各不相同,但是大体以下几个日志是肯定有的

文件

程序

出处

频率

内容

message

许多

syslog

每周

最主要的系统日志文件

dmesg

内核

硬连接

内核消息缓冲的转储

wtmp

login

硬连接

每月

登录记录(二进制)

lastlog

login

硬连接

每个用户上次登录的时间(二进制)

wtmplastlog可以通过last程序来解读这些信息。

现在开始了解一下syslogsyslog包含了3个部分:

  1. syslogd,日志守护程序(配置文件为/etc/syslogd.conf)

  2. openlog,syslogcloselog,将消息题交给syslogd的库例程

  3. logger,一条从shell提交日志记录项的用户级命令

解读syslog.conf

下面是/etc/syslog.conf的实例

# First some standard logfiles. Log by facility.

#

auth,authpriv.* /var/log/auth.log

*.*;auth,authpriv.none -/var/log/syslog

#cron.* /var/log/cron.log

daemon.* -/var/log/daemon.log

kern.* -/var/log/kern.log

lpr.* -/var/log/lpr.log

mail.* -/var/log/mail.log

user.* -/var/log/user.log

# Logging for INN news system

#

news.crit /var/log/news/news.crit

news.err /var/log/news/news.err

news.notice -/var/log/news/news.notice

下面我们有必要了解下cron, daemon这些主要代表着什么

设备(facility

使用该设备的程序

*

除了”mark”之外的所有设备

auth

与安全和授权有关的命令

authpriv

敏感/保密的授权信息

cron

守护进程cron

daemon

系统守护进程

ftp

FTP守护进程,ftpd

kern

内核

local0-7

本地消息的8种类型

lpr

打印机

mail

sendmail及其他与电子邮件相关的软件

mark

定期产生的时间戳

news

usernet新闻系统

syslog

syslogd内部消息

user

用户进程(如果没有指定就是默认值)

uucp

UUCP

syslog中定义了8种安全级别,就是上面我们看到的crit,errnotice

syslog的严重级别(降序)

级别

含义

emerg

恐慌状态

alert

紧急状态

crit

临界状态

err

其他错误情况

warning

警告信息

notice

需要调查的事项

info

提供信息的消息

debug

仅供调试

那我们如何来进行限定这个优先级呢?

syslog优先级别的限定实例

选择符

含义

Mail.info

选择与邮件相关的,优先级为info或者更高的消息

Mail.=info

只选择优先级为info的消息

Mail.info;mail.!err

只选择优先级为info,noticewarning消息

Mail.debug;mail.!=warning

选择除了warning之外所有的优先级

/var/log/auth.log 这些就是syslog的动作,我们看看到底有哪些动作

syslog的动作

动作

含义

filename

把消息写入本地机器上的一个文件里

@hostname

把消息转发给主机hostname上的syslogd

@ipaddress

把消息转发给IPipaddress的主机

|fifoname

把消息写入有名管道fifoname

User1,user2

如果用户登录到系统上,那么把消息写在用户的屏幕上

*

把消息写给目前所有已经登录的用户

从这里我们也可以看出syslog的日志文件可以进行网络存储的,我们可以把所有服务器的日志信息记录到中央日志服务器上,这样就方便于进行查看。

但是这里必须注明两点:

  1. 日志时间是已中央服务器上的时间为准

  2. 日志传输是UDP协议的,这就意味着并不是很可靠。

我们配置好/etc/syslog.conf需要对syslog服务进行重启才可。

调试syslog

现在我们看看如何调试syslog

假设我们在/etc/syslog.conf中添加了下面一行:

local5.err /tmp/local5.err

看看是否起作用

logger -p local5.err “test err message”

然后看看/tmp/local5.err中是否有”test err message”信息

在程序中使用syslog

库例程openlog,syslogclose能够让程序使用syslog系统,这些例程有cperl的版本。

如何引入库例程定义,perl中只需要在perl脚本开始处增加下面一行

user Sys::Syslog;

openlog使用以下格式来初始化日志记录:

openlog (ident, logopt, facility);

消息是按照logopt指定的选项被记录到facility中,并以标识符ident开头。

Logopt包含以下选项

选项

含义

pid

在每条日志消息上包含当前进程的PID

ndelay

立即连接到syslogd(不用得到要发消息时再连接)

cons

如果syslogd不可达,就把消息发送到系统控制台

Nowait

不用的代(wait(3))派生子进程来写控制台信息

合理的openlog调用可以是:

openlog (“adminscript”, “pid,cons”, “local4”);

syslog例程是用来发送一个消息到syslogd,将其以指定的优先级记录;

syslog (priority, messgae, ……)

来自openlog调用的日期、时间、主机名称和ident字符串都被预先加入到日志文件的消息中。message后面可跟其他参数,以形成printf风格的输出格式,包括文本和其他变量的列表,例如:

syslog (“info”, “Delivery to ‘%s’failed after %d attempts.”, $user, $nAttempts);

特殊符号%merrno的当前值(最新的错误代码)扩展为一条错误信息

像”level|facilty”的优先级字符串既设置了严重级别,也设置了设备名称,如果没有调用openlog并指定一个ident字符串,syslog例程还会检查message是否具有一条标准UNIX错误信息的形式,如:

adminscript: User “nobody” not found in /etc/passwd file

如果符合这个格式,冒号之前的那一部分就被秘密的采用为ident字符串,这些特性使得调用openlog并不是必不可少;但调用openlog仍然是个不错的想法,在一些地方(调用openlog)指定设备名称,整个代码中不断重复设备名称要好。

Closelog例程关闭日志记录通道:

closelog ();

如果想以不同的选项重新打开日志记录通道,那必须调用这个例程。在程序退出时调用closelog是一个很好的形式,但并不是必不可少的。

下面是在perl中的完成例子:

use Sys::Syslog

openlog(“adminscript”, “cons,pid”, “user”);

syslog(“waring”, “Those whom the gods would destroy, they first teach Basic”);

closelog();

产生的日志记录([191]为进程号):

Dec 2822:56:24 moet.colorado.edu adminscript[191]: Thos whom the gods would destroy, the firtst teach Basic.

关于 Timo
XNIX SA & MYSQL DBA

发表评论

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / 更改 )

Twitter picture

You are commenting using your Twitter account. Log Out / 更改 )

Facebook photo

You are commenting using your Facebook account. Log Out / 更改 )

Google+ photo

You are commenting using your Google+ account. Log Out / 更改 )

Connecting to %s

%d 博主赞过: