日志是用来记录系统运行状态的历史事件，主要记录特定时间发生的事件，同时根据日志级别，事件的关键性程序，通常叫作LogLevel.

系统日志服务

1syslog:
2    系统级别：syslogd
3    内核级别：klogd
4rsyslog特点：
5    多线程：
6    UDP，TCP，SSL，TLS协议
7    支持MySQL, PGSQL,ORACLE日志存储
8    强大的过滤器，可实现过滤日志信息中任何部分
9    自定义输出格式
10Elasticsearch分布式日志，logstash日志，kibans = ELK

日志收集方

1facility：设施，从功能或程序上对日志进行分类
2    auth，authpriv，cron，daemon，kernel，lpr，mail，mark，news，security，user，uucp，local0-local7,syslog
3priority：日志级别
4    debug，info，notice，warning，error，critical，alert，emergy
5 指定级别：
6    *：所有级别
7    none：没有级别
8    priority：此级别及更高级别的日志信息
9    =priority：此级别
10facility.prority /var/log/messages

程序环境

1主程序：rsyslogd
2配置文件：/etc/rsyslog.conf
3    kern.* /dev/console（内核日志记录在终端输出，可以用dmseg）
4    *.info;mail.none;authpriv.none;cron.none    /var/log/messages(除了mail,authpriv,cron之外所有的日志记录在messages文件中)
5    mail.*    -/var/log/maillog（-表示异步写入）
6    uucp,news.crit  /var/log/spooler(表示uucp和news同级别crit记录在spooler文件中)
7    local2.*  /var/log/sshd.log  (自定义，如把/etc/ssh/sshd_conf中的SyslogFacility local2在/etc/rsyslog.conf定义local2.* /var/log/sshd.log，这样ssh登陆的log记录在sshd.log中)

rsyslog.conf语法

1RULES:
2    facility.priority target
3    target：
4        文件路径：记录于指定的日志文件中，通常应该在/var/log目录下；
5        用户：将日志通知给指定用户: *指所有用户
6        日志服务器：@host
7            host：必须要监听在tcp或udp协议514端口上提供服务
8        管道：|COMMAND

日志格式

1    事件产生的日期时间 主机 进程(pid) 事件内容
2    某些日志记录是进进制格式：（last,lastb,lastlog）
3        /var/log/wtmp：当前系统上成功登陆的日志(last指令查询）
4        /var/log/btmp：当前系统上失败的登录尝试(lastb指令查询）
5        lastlog命令：显示当前系统每一个用户最近一次的登陆时间

rsyslog服务器

1# Provides UDP syslog reception
2$ModLoad imudp
3$UDPServerRun 514
4
5# Provides TCP syslog reception
6$ModLoad imtcp
7$InputTCPServerRun 51
8以上配置同时启动TCP和UDP

rsyslog客户端配置

1@IP (用UDP协议发送log到服务器）
2@@IP（用TCP协议发送log到服务器）