Linux操作系统中日志系统功能详解
Linux系统拥有非常灵活和强大的日志功能，可以保存几乎所有的操作记录，并可以从中检索出我们需要的信息。小编为大家分享了Linux操作系统中日志系统功能详解，下面大家跟着小编一起来了解一下吧。
Linux操作系统中日志系统功能详解
每个操作系统中都有自己的强大的日志功能，windows有，而linux同样也有;linux操作系统中的日志功能主要通过服务syslog来实现(RedHat6.0以后使用的是syslog-ng)，而syslog服务下有两个进程syslogd和klogd，这两个进程一个用来记录系统日志信息，一个用来记录内核日志信息;但是操作系统在运行中会产生非常多的日志信息，如果我们将这些信息都记录下来的话，那我们的磁盘I/O一定很繁忙，这对系统的性能有很大的影响，这就有违了我们的初衷，所以我们根据产生日志的来源和日志信息的重要性，将系统运行中所产生的日志进行分类;syslogd和klogd两个进程所记录的日志信息和详细程度又各有不同：
Klogd：记录了系统初始化时所产生并显示在物理终端上的信息，并保存在”/var/log/dmesg”文件中，我们可以使用“cat /var/log/dmesg”进行查看，也可以使用专门的命令“dmesg”进行查看
Syslogd：在系统初始化完成，将系统控制权转交给init，此时产生的日志信息都有syslogd记录，并存放在“/var/log/messages”文件中，主要保存的信息有“系统标准错误日志信息，非内核产生的引导信息，各个服务程序的子系统产生的信息等等”;在监控系统运行时一般使用“# tail -f /var/log/messages”来监控新生成的日志信息
但是系统运行中所产生的信息非常多，即使只记录这些信息，也有很大量;此时如果我们仍然将所有日志信息都保存在一个messages文件中，那么管理起来就非常困难了;那这怎么办呢?我们引进了另外一种技术“日志滚动”
日志滚动：当日志messages文件大小或时间到一定程度之后，将这个文件定义为messages.1，并重新创建一个新的messages文件，此时messages.1不再记录新的内容，只是存放以前的内容，如果新的messages文件再次达到这个标准之后，现在这个messages文件重命名为messages.1，原有的messages.1命名为messages.2，这样依次类推;但是这样一直滚动下去，很久以前的日志信息对我们现在管理已经没有很大用处了，所以我们可以定义只保留滚动多少次的日志文件;所以日志信息我们应该经常滚动，且一般定义多个标准
日志的滚动就是将这个日志文件进行切割，在redhat上有一个专门的命令可以完成这个动作：logrotate;系统上有一个专门的系统任务计划来完成日志切割“/etc/cron.daily”下有一个脚本叫做logrotate，这个命令的配置文件在“etc/logrotate.conf”下(定义了系统的日志滚动机制)
内容格式是：
weekly #全局定义每周滚动一次
rotate 4 #只保留四个滚动版本
include /etc/logrotate.d #上面几行是日志系统全局属性，下面是各个小系统的具体属性，执行时以局部属性为准;局部日志属性可定义多个
/var/log/wtmp { #定义这个子系统自己的日志滚动机制，日志存放文件
monthly #多长时间滚动一个
minsize 1M #日志文件最小1M
create 0664 root utmp #创建一个文件，权限是0664，属主是root，文件名是utmp
rotate 1 #只保留一个滚动版本
}
日志滚动的脚本文件：# vim /etc/cron.daily/logrotate
如果不自己定义，则按照全局定义的日志滚动属性，也可以在“/etc/logrotate.d/cups”文件下定义：
一些其他子系统产生的日志信息保存位置：
/var/maillog #邮件系统产生的日志信息
/var/log/secure #每个用户在登录时所产生的安全信息(什么时间谁以哪个用户来自哪个主机尝试登录，尝试了几次，这个文件经常查看)
syslog的配置文件在：/etc/syslog.conf
