linux系统日志(linux查看系统日志命令)

linux系统日志

1、Linux体系日志的三种类型
1.内核及体系日志
这种日志数据由体系服务rsyslog统一管理，根据其主配置文件/etc/rsyslog.conf中的设置决定将内核音讯及各种体系程序音讯记载到什么方位。体系中有适当一部分程序会把日志文件交由rsyslog管理，因而这些程序运用的日志记载也具有相似的格局。
2.用户日志
这种日志数据用于记载Linux操作体系用户登录及退出体系的相关信息，包括用户名、登录的终端、登录时间、来历主机、正在运用的进程操作等。
3.程序日志
有些应用程序会挑选由自己独立管理一份日志文件，用于记载本程序运转过程中的各种事情信息，而不是交给rsyslog服务管理。因为这些程序只担任管理自己的日志文件，因而不同程序所运用的日志记载格局或许会存在较大的差异。
2、Linux体系常见的日志文件
途径1：/var/log/messages：记载Linux内核音讯及各种应用程序的公共日志信息
途径2：/var/log/cron：记载crond计划任务产生的事情信息
途径3：/var/log/dmesg：记载Linux操作体系在引导过程中的各种事情信息
途径4：/var/log/maillog：记载进入或发出体系的电子邮件活动
途径5：/var/log/lastlog：记载每个用户最近的登录事情
途径6：/var/log/secure：记载用户认证相关的安全事情信息
途径7：/var/log/wtmp：记载每个用户登录、注销及体系启动和停机事情
途径8：/var/log/btmp：记载失利的、过错的登录测验及验证事情
3、Linux体系日志的优先级别
数字等级越小，优先级越高，音讯越重要。
4、Linux体系用户日志相关指令
1.users#
users指令仅仅简单地输出当时登录的用户名称，每个显现的用户名对应一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显现与其相同的次数。
2.who#
who指令用于报告当时登录到体系中的每个用户的信息。运用该指令，体系管理员能够检查当时体系存在哪些不合法用户，从而对其进行审计和处理。who的默许输出包括用户名、终端类型、登录日期及远程主机。
3.w#
w指令用于显现当时体系中的每个用户及其所运转的进程信息，比users、who指令的输出内容要丰厚一些。
4.last#
last指令用于查询成功登录到体系的用户记载，最近的登录状况将显现在最前面。通过last指令能够及时掌握Linux主机的登录状况，若发现未经授权的用户登录过，则表明当时主机或许已被侵略。
5.lastb#
lastb指令用于查询登录失利的用户记载，如登录的用户名过错、暗码不正确等状况都将记载在案。登录失利的状况归于安全事情，因为这表明或许有人在测验猜解你的暗码。

linux查看系统日志命令

在你作为Linux管理员的职业生涯中，应该早晚都会检查日志文件。由于日志文件能够协助你排查问题，每个经验丰富的管理员在出现问题后，要做的头一件事便是检查日志。
你会发现许多日志：体系日志、内核日志、软件包管理器日志、Xorg日志、启动进程日志、Apache日志、MySQL日志…你能想到的简直任何体系都有相应的日志文件。
大多数日志文件坐落一个便当的方位：/var/log。这些都是体系和服务日志，你的操作体系或某一项重要服务出现问题时，会高度依靠这些日志。假如是针对特定桌面应用程序的问题，日志文件会被写入到不同的方位(比方Thunderbird把崩溃陈述写入到‘~/.thunderbird/CrashReports’)。桌面应用程序把日志写入到何处取决于开发人员，以及应用程序是否允许自定义日志配置。
我们会着重介绍体系日志，由于这是Linux毛病排查的中心地点。而这儿的一个要害问题是，你怎么检查那些日志文件?
幸好，你有很多办法能够检查体系日志，它们都只要从指令行来执行即可。
/var/log
这是Linux体系上一个至关重要的文件夹。翻开终端窗口，执行指令cd/var/log。现在执行指令ls，你就会看到坐落该目录下面的日志(见图1)。
图1：列出了坐落/var/log/下的日志文件
现在，无妨看一看其中一个日志。
运用less检查日志
/var/log里边包括有最重要的日志之一是syslog。这个特殊的日志文件记录下了除验证相关音讯之外的全部信息。假定你想检查这一个日志文件的内容，能够敏捷执行指令less/var/log/syslog。这个指令会翻开syslog日志文件，显示文件首部。然后，你能够运用箭头键每次向下翻滚一行，运用空格键每次向下翻滚一页，或许运用鼠标轮，轻松翻滚阅读文件。
这种办法有一个问题，那便是syslog会变得适当庞大;别的，考虑到你要找的信息极有或许在底部或靠近底部，你或许不想把时刻消耗在每次逐行或逐页翻滚进入到尾部，由于在less指令中syslog已翻开，你还能够按[Shift]+[g]组合键，立即进入到日志文件的尾部。尾部会标以(END)。然后，你能够用箭头键或翻滚轮向上翻滚，找到你想要的具体信息。
当然，这不是很高效。
运用dmesg检查日志
dmesg指令输出内核环缓冲区。默认情况下，该指令会显示来自内核环缓冲区的一切信息。从终端窗口，执行指令dmesg，整个内核环缓冲区的内容就会输出显示(见图2)。
图2：USB外部驱动器显示了需要研讨的一个问题
幸好，有一种内置的操控机制让你得以仅仅输出某些程序模块(facility，比方看护进程)。
假定你想检查用户程序模块的日志项，可执行指令dmesg–facility=user。要是有什么信息记录到该东西，它会输出成果。
不像less指令，执行dmesg会显示日志的全部内容，并让你进入到文件尾部。你始终能够运用翻滚轮来阅读终端窗口的缓冲区(假如适用的话)。相反，你会想要把dmesg的输出经过管道指令输入到less指令，就像这样：
dmesg|less
上述指令会输出dmesg的内容，让你能够翻滚阅读输出，就像运用less指令检查规范日志那样。
运用tail检查日志
tail指令或许是用于检查日志文件的最方便的东西之一。tail的功能便是输出文件的尾部内容。所以，假如你执行指令tail/var/log/syslog，它只会输出syslog文件的尾部几行。
可是等一下，好玩的并不仅限于此。tail指令有一个很重要的技巧，这需要凭借运用-f选项。假如你执行指令tail-f/var/log/syslog，tail会持续监视日志文件，输出写入到文件的下一行。这意味着你能够在终端窗口里边实时重视什么写入到syslog(见图3)。
图3：运用tail指令，重视/var/log/syslog
以这种方式运用tail关于排查问题大有协助。
在重视文件时想退出tail指令，只需按[Ctrl]+[x]组合键。
你还能够指示tail只重视某几行。假定你只想检查写入到syslog的尾部5行;为此，你能够执行这个指令：
tail-f-n5/var/log/syslog
上述指令会重视syslog的输入，只输出最近的5行。一旦有新的行写入到syslog，它会将最早的那一行从首部删去。这是让重视日志文件这个进程更容易的一种好办法。我强烈建议别运用这种办法来检查少于四五行的日志，由于你最终会发现输入被切断，无法取得某项的全部细节。
还有其他东西
你会找到其他指令(乃至几个还不错的GUI东西)以便检查日志文件。估计more、grep、head、cat、multitail和体系日志检查器(SystemLogViewer)能够协助你经过日志文件来排查体系问题。