<h2><center>日志管理</center></h2>

------

## 一：简介

​	在 Linux 系统中，日志管理是系统维护和故障排查的核心环节。系统和服务通过日志记录运行状态、错误信息和用户操作，合理管理日志有助于快速定位问题并保障系统安全。

## 二：日志管理

### 1. 日志文件的位置与类型

Linux 日志文件通常存储在 /var/log 目录下，常见日志文件如下：

|        日志文件         |                    说明                     |
| :---------------------: | :-----------------------------------------: |
|  **/var/log/messages**  |                 系统级日志                  |
|   **/var/log/secure**   |            与系统安全相关的日志             |
|  **/var/log/yum.log**   |    记录通过 yum 安装或更新的软件包信息。    |
|  **/var/log/maillog**   |                记录邮件服务                 |
|    **/var/log/cron**    |        记录 cron 定时任务的执行情况         |
|   **/var/log/dmesg**    |  记录内核启动时的硬件检测和驱动加载信息。   |
| var/log/audit/audit.log |              记录系统审计日志               |
|      /var/log/btmp      |             记录失败的登录尝试              |
|      /var/log/wtmp      | 记录所有用户的登录、注销及系统启动/关机事件 |
|    /var/log/lastlog     |       记录每个用户最后一次登录的时间        |
|   /var/log/mysqld.log   |              MySQL 数据库日志               |

### 2. 查看日志的工具

#### 1. 基础工具

**tail / head** ：查看日志尾部或头部内容

```bash
[root@wxin ~]# tail -n 100 /var/log/messages     # 查看最后 100 行
[root@wxin ~]# tail -f /var/log/nginx/access.log  # 实时追踪日志更新
```

**grep**：按关键词过滤日志

```bash
[root@wxin ~]# grep "error" /var/log/messages     # 查找包含 "error" 的行
[root@wxin ~]# grep -C 3 "failed" /var/log/audit/audit.log      # 显示匹配行及其前后 3 行
```

**less**：分页浏览日志

```bash
[root@wxin ~]# less +F /var/log/messages  # 进入实时滚动模式（按 Ctrl+C 退出）
```

#### 2. 高级工具

**journalctl**（systemd 系统日志管理工具）

```bash
[root@wxin ~]# journalctl -u nginx.service      # 查看 nginx 服务日志
[root@wxin ~]# journalctl --since "2024-01-01" --until "2024-01-02"
[root@wxin ~]# journalctl -p err -b             # 查看本次启动后的错误日志
```

**logrotate**：日志轮转工具

```bash
[root@wxin ~]# logrotate -vf /etc/logrotate.conf  # 手动触发日志轮转并显示详情
```

## 三：日志轮转

​	日志轮转（Log Rotation）是系统管理中用于管理日志文件的重要机制，其主要目的是避免单个日志文件过大导致磁盘空间耗尽，同时保留历史日志以方便后续排查问题。

### 1. 日志轮转的核心功能

- **分割日志**：将单个日志文件按时间或大小分割成多个文件（例如 access.log1，access.log2）。
- **压缩旧日志**：减少日志占用的磁盘空间（如使用 gzip ）。
- **删除过期日志**：根据保留策略清理旧日志。
- **无缝切换**：轮转过程中不中断正在写入的日志（通过重命名文件或信号通知应用重新打开日志）。

### 2. 日志轮转策略

**按时间轮转**

- **每日轮转**：每天生成一个新日志文件（例如 nginx_20231101.log）。
- **每周/每月轮转**：适用于低频日志场景。

```shell
daily       # 每天轮转
rotate 7    # 保留最近7天的日志
```

**按大小轮转**

- 当日志文件达到指定大小时触发轮转（如 100MB）。

```shell
size 100M   # 文件超过100MB时轮转
rotate 5    # 保留5个历史文件
```

**混合策略**

- 同时限制时间和大小，例如：每天轮转，但超过1GB立即轮转。

### 3. 示例

**基础配置**

```shell
/var/log/nginx/*.log {
    daily             # 按天轮转
    missingok         # 如果日志不存在，不报错
    rotate 30         # 保留30个历史文件
    compress          # 压缩旧日志（默认用gzip）
    delaycompress     # 延迟压缩前一个日志文件（方便排查最新日志）
    notifempty        # 如果日志为空，不轮转
    create 0640 www-data adm  # 新日志文件的权限、属主和属组
    sharedscripts     # 所有日志处理完后执行一次脚本
    postrotate
        systemctl reload nginx  # 通知Nginx重新打开日志文件
    endscript
}
```

**按大小轮转**

```shell
/var/log/app/app.log {
    size 100M         # 超过100MB时轮转
    rotate 5          # 保留5个历史文件
    compress
    dateext           # 使用日期后缀（如app.log-20231101.gz）
}
```

### 4. 高级配置选项

- **dateext**：用日期格式作为轮转后的后缀（例如 access.log-20231101）。
- **dateformat**：自定义日期格式（如 %Y%m%d-%H）。
- **olddir**：将旧日志移动到指定目录。
- **maxage**：删除超过指定天数的旧日志（例如 maxage 30）。
- **su**：指定轮转时使用的用户/组（如 su www-data adm）。

### 5. 手动触发日志轮转

```bash
# 测试配置（不实际执行）
[root@wxin ~]# logrotate -d /etc/logrotate.d/nginx

# 强制执行轮转
[root@wxin ~]# logrotate -vf /etc/logrotate.d/nginx
```