Linux 日志管理與時鐘同步詳解

一、日志管理

1. 日志服務概述

Linux 系統中主要有兩種日志服務，分別負責臨時和永久日志的管理：

• systemd-journald：存儲臨時日志，服務器重啟后日志會丟失，無需手動配置
• rsyslog：存儲永久日志，日志文件可長期保存，核心配置文件為/etc/rsyslog.conf

2. 日志文件的種類與主要路徑

系統日志按內容可分為三類：內核及系統日志、用戶日志、程序日志。主要日志文件及功能如下：

日志文件路徑	記錄內容
/var/log/dmesg	系統引導過程中的各種事件信息（如硬件檢測、驅動加載）
/var/log/lastlog	每個用戶最近一次的登錄事件信息
/var/log/wtmp	所有用戶的登錄、注銷記錄及系統啟動、停機事件
/var/log/btmp	失敗的登錄嘗試及驗證錯誤事件

3. 日志分析方法

（1）日志優先級

日志優先級從低到高（嚴重程度遞增）如下：

• debug：程序或系統調試信息（最詳細，僅用于開發排查）
• info：一般信息性事件（正常運行狀態記錄）
• notice：不影響功能但需注意的事件
• warning：可能影響功能的重要提醒
• err：運行錯誤（非嚴重故障）
• cirt：較嚴重的情況（需關注）
• alert：必須立即處理的問題（如服務中斷風險）
• emerg：導致系統不可用的致命錯誤（最高優先級）

（2）實時監控日志

使用tail -f命令實時跟蹤日志文件變化：

tail -f /var/log/messages  # 實時監控系統默認日志

（3）日志記錄格式

一條完整日志通常包含四部分：

• 時間標簽：消息發出的日期和時間（如2024-05-20 14:30:00）
• 主機名：生成消息的主機名稱（如server01）
• 子系統名稱：發出消息的應用程序名或進程 PID（如sshd[1234]）
• 消息內容：具體事件描述（如Accepted password for root from 192.168.1.1）

（4）journalctl命令（管理 systemd 日志）

journalctl用于查詢systemd-journald記錄的日志，常用選項：

選項	功能
-n 數字	查看最新 N 條日志（默認 10 條，如journalctl -n 20）
-f	實時監控日志更新（類似tail -f）
-p 優先級	按優先級顯示日志（如journalctl -p err顯示錯誤及以上級別）
--since 時間	顯示指定時間之后的日志（如journalctl --since "2024-05-20 08:00"）
--until 時間	顯示指定時間之前的日志（配合--since使用）
-o verbose	顯示詳細日志信息（可結合條件過濾，如journalctl -o verbose _COMM=su）

常用過濾條件：

• _COMM=命令名：過濾指定命令的日志
• _PID=進程號：過濾指定 PID 的日志
• _UID=用戶ID：過濾指定用戶的日志
• _SYSTEMD_UNIT=服務名：過濾指定 systemd 服務的日志

（5）手動發送日志消息

使用logger命令向rsyslog服務發送自定義消息，格式：

logger -p 設施.優先級 "消息內容"  # 設施用于分類（如local7、mail等）

示例：向/var/log/boot.log發送 notice 級消息：

logger -p local7.notice "chenyu"

4. 用戶日志查詢

用戶日志主要記錄登錄相關事件，常用查詢命令：

命令	功能
lastlog	顯示所有用戶最近一次登錄的時間、終端和 IP
users	查看當前登錄系統的用戶（僅顯示用戶名）
who	查看登錄用戶的終端、登錄時間及來源主機
w	顯示登錄用戶及其正在執行的命令（比who更詳細）
last	從/var/log/wtmp中讀取成功登錄的用戶歷史記錄
lastb	從/var/log/btmp中讀取失敗的登錄嘗試記錄

5. 遠程日志收集配置

通過rsyslog實現遠程日志集中管理（以將郵件日志發送到ldap.example.com為例）：

1. 編輯

   rsyslog
   

   配置文件：

   vim /etc/rsyslog.conf
   

2. 添加規則（格式）：

   事件.優先級 目標主機
   

   mail.*    ldap.example.com  # 將所有郵件相關日志發送到ldap.example.com
   

3. 重啟服務使配置生效：

   systemctl restart rsyslog
   systemctl enable rsyslog  # 設置開機自啟
   

規則格式說明：

• 第一個*：表示事件類型（如mail、auth、kern，*代表所有）
• 第二個*：表示優先級（*代表所有級別）

二、時鐘同步

1. 基本時間管理（timedatectl與date）

（1）timedatectl命令

用于查看和設置系統時間、時區及 NTP 同步：

命令	功能
timedatectl	查看當前時間、時區、NTP 狀態
timedatectl list-timezones	列出所有可用時區
timedatectl set-timezone "Asia/Shanghai"	設置時區為上海
timedatectl set-time "YYYY-MM-DD hh:mm:ss"	手動設置系統時間

（2）date命令

手動修改系統時間：

date -s "2024-05-20 15:30:00"  # 設置時間為2024年5月20日15:30:00

2. chrony時間同步服務

chrony是高效的 NTP 替代工具，適用于網絡不穩定環境，基于 UDP 協議（端口 323），由chronyd（后臺服務）和chronyc（命令行工具）組成

注意：chronyd與ntpd不可同時運行，需二選一

（1）服務端配置（作為時間服務器）

1. 安裝chrony：

   yum -y install chrony  # CentOS/RHEL系統
   

2. 編輯配置文件/etc/chrony.conf：

   vim /etc/chrony.conf
   

   添加以下內容：

   local stratum 10        # 不同步外部時間，作為本地時間源（stratum為層級，1-15，越低越優）
   allow 172.16.30.0/24    # 允許172.16.30.0/24網段的主機同步此服務器
   

3. 重啟服務并設置開機自啟：

   systemctl restart chronyd
   systemctl enable chronyd
   

4. 配置防火墻（允許 NTP 服務）：

   firewall-cmd --add-service=ntp --permanent  # 永久開放NTP服務
   firewall-cmd --reload  # 重載防火墻規則
   

（2）客戶端配置（同步服務端時間）

1. 安裝chrony：

   yum -y install chrony
   

2. 編輯配置文件，指向服務端：

   vim /etc/chrony.conf
   

   修改為：

   server 172.16.30.20 iburst  # 172.16.30.20為服務端IP，iburst表示快速同步
   

3. 重啟服務并設置開機自啟：

   systemctl restart chronyd
   systemctl enable chronyd
   

4. 將系統時間同步到硬件時鐘（避免重啟后失效）：

   hwclock -w
   

（3）chronyc客戶端命令

命令	功能
chronyc sources	查看時間同步源信息（服務端地址及狀態）
chronyc sourcestats -v	查看同步源的統計信息（如偏差、延遲）

總結

日志管理是系統監控與故障排查的核心，通過rsyslog和systemd-journald可實現日志的永久存儲與實時分析；時鐘同步則通過chrony確保多主機時間一致性，兩者都是 Linux 系統運維的基礎技能。掌握日志文件路徑、優先級劃分及chrony配置，能有效提升系統穩定性與可維護性