linux日志系统

man logrotate 
 /var/lib/logrotate.status

 /var/log/maillog:邮件系统产生的日志信息.
 /var/log/secure:系统认证，安全日志。
 chkconfig --list rsyslog
 servcie rsyslog status

facility.prioriity    action 
facility，可以理解为日志的来源或设备目前常用的facility有以下几种：
auth           认证相关的
authpriv         权限，授权相关的
cron            任务计划相关的
daemon            守护进程相关的
kern            内核相关的
lpr              打印相关的
mail           邮件相关的
mark            标记相关的
news             新闻下相关的
security         安全相关的与auth类似
syslog              syslog自己的
user              用户相关的
uucp              unix to unix cp 相关的
local0到local7   用户自定义
*                表示所有的facility

priority (log level) 日志的级别，一般有以下几种级别（从高到低）
debug         #程序或系统的调试信息
info           #一般信息
notice         #不影响正常功能，需要注意的信息
warning/warn      #可能影响系统正常功能，需要提醒用户的重要事件
err/error          错误信息 
crit              比较严重
alert            必须马上处理
emerg/panic        会导致系统不可用
*               表示所有的日志级别
none         跟*相反，表示啥也没有
注意：级别越低，信息越详细，产生的信息量越多。

系统上绝对路径     #普通文件，如/var/log/xxx
|             #管道  通过管道送给其他命令处理
终端          #终端   如/dev/console
@HOST        #远程主机  如：@10.0.0.10
用户           #系统用户   如root
*               #登录到系统上的所有用户，一般emerg级别的日志是这样定义的。

 1.便于管理
 2.安全性提高
 3.备份    

mail.info   /var/log/mail.log  #表示将mail相关的，级别为info及info以上级别的的信息记录到/var/log/mail.log文件中
auth.=info   @10.0.0.1  #表示将auth相关的，基本为info的信息记录到10.0.0.1主机上去
user.!=error      #与user.error相反
*.info        #表示记录所有日志的info信息
mail.*            #表示记录mail相关的所有级别的信息
*.*         #所有
cron.info;mail.info     #多个日志来源用“;”隔开
cron，mail.info     #与cron.info;mail.info一个意思
mail.*;mail.!=info     #表示记录mail相关的所有级别的信息，但是不包括info级别的。

vim /etc/rsyslog.conf
    /etc/rsyslog.
*.info;mail.none;authpriv.none;cron.none                /var/log/messages  #除了。。以外都记录
mail.*                             /var/log/secure  权限为 600                -/var/log/maillog   注：-：表示异步写入，其他的是同步写入。
/var/boot.log
syslog默认记录的日志格式有四个字段,时间标签   主机  子系统名称   消息
cron.info    /var/log/ 
service rsyslog restart
service rsyslog  reload
/etc/init.d/rsyslog
/etc/sysconfig/rsyslog  脚本的配置文件
SYSLOGD_OPTIONS="-c 5"  加上-r 重启服务即可
-r :允许接受外来的日志，

dmsg
lastlog
last
lastb
sar
logger
....

 ubuntu@youdi >/etc > vim rsyslog.conf
 ubuntu@youdi > /etc > tree rsyslog.d
rsyslog.d
├── 20-ufw.conf
├── 21-cloudinit.conf
└── 50-default.conf  // 不同日记级别产生的日志保存在哪里等一些配置都是在这个文件中

0 directories, 3 files

ubuntu@youdi  /var/log  tree -L 1                                                                                                                                  
├── alternatives.log
├── alternatives.log.1
├── alternatives.log.2.gz
├── alternatives.log.3.gz
├── alternatives.log.4.gz
├── apt
├── auth.log
├── auth.log.1
├── auth.log.2.gz
├── auth.log.3.gz
├── auth.log.4.gz
├── btmp
├── btmp.1
├── cloud-init.log
├── cloud-init-output.log
├── dist-upgrade
├── dpkg.log
├── dpkg.log.1
├── dpkg.log.2.gz
├── dpkg.log.3.gz
├── dpkg.log.4.gz
├── fontconfig.log
├── fsck
├── kern.log
├── kern.log.1
├── kern.log.2.gz
├── kern.log.3.gz
├── kern.log.4.gz
├── lastlog
├── lxd
├── mysql
├── nginx
├── redis
├── supervisor
├── syslog
├── syslog.1
├── syslog.2.gz
├── syslog.3.gz
├── syslog.4.gz
├── syslog.5.gz
├── syslog.6.gz
├── syslog.7.gz
├── unattended-upgrades
├── wtmp
└── wtmp.1

ubuntu@youdi  /etc  vim logrotate.conf                                                                                                                                                                         
 ubuntu@youdi  /etc  tree logrotate.d                                                                                                                                                                           
logrotate.d
├── apport
├── apt
├── dpkg
├── lxd
├── mysql-server
├── nginx
├── redis-sentinel
├── redis-server
├── rsyslog
├── ufw
└── unattended-upgrades

0 directories, 11 files