注：在 centos7/Rocky9 中，系统日志消息由两个服务负责处理：systemd-journald 和 rsyslog

一、常见日志文件的作用

步骤一：故意输错密码3次，在日志文件中查看

步骤二：提取IP地址

步骤三：发现后，使用防火墙拒绝此IP（首先查看和清空防火墙规则）

将拒绝Ip地址的规则添加进去

注：需要注意的是，一旦为防火墙添加这条规则，此远程连接就会断开，无法重连；需要在虚拟机中清空防火墙规则才能够再次进行远程连接

注：/var/log/btmp 文件是记录错误登录系统的日志

文件变得过大时，清空可选方式：

两种方式差别：第一种方式直接覆盖，Inode号不变，第二种方式删除后重建，Inode号可能会变

二、日志的记录方式

日志的记录在 rsyslog 中由日志的“类别”和“级别”组成。

类别.级别

*.info;mail.none;authpriv.none;cron.none /var/log/messages——所有的类别级别是 info 以上除了 mail,authpriv,cron
authpriv.* 认证相关日志 /var/log/secure
mail.* 邮件相关的日志 -/var/log/maillog
cron.* 计划任务相关的日志 /var/log/cron
local7.* 开机时显示的信息存放 /var/log/boot.log

注：“- ”号：邮件的信息比较多,现将数据存储到内存,达到一定大小,全部写到硬盘。有利于减少 I/O进程的开销。数据存储在内存,如果关机不当则数据消失。

实验：自定义日志

步骤一：在/var/log/目录下创建all.log日志文件，然后在配置文件中记录位置

步骤二：重启日志服务，使配置生效

步骤三：防止日志删除，添加隐藏属性

logrotate 配置文件主要有：

/etc/logrotate.conf（全局规则）以及 /etc/logrotate.d/ （局部规则）目录下的明细配置文件。logrotate 的执行由 crond 服务调用的。
查看 logrotate 脚本内容（需要自己写）

logrotate 程序每天由 cron 在指定的时间（/etc/crontab）启动

日志是很大的,如果让日志无限制的记录下去，日志文件会逐渐变大，以至于文件无法打开。

日志切割

其它参数说明：

monthly: 日志文件将按月轮循。其它可用值为‘daily’，‘weekly’或者‘yearly’。
size：只有当日志文件增长到指定大小时才会进行切割轮替，比如 100k、100M、100G 单位大小均为有效值。（如果此选项和时间轮替冲突那么最后一个指定的轮替条件生效）
rotate 5: 将存储 5 个归档日志。对于第 6 个归档，距离当前时间最久的归档将被删除。
dateext：在日志切割轮替后，旧日志文件以切割轮替日期为文件后缀名。
nodateext：在日志轮替切割后，旧日志文件不以日期为后缀名。
compress: 在轮循任务完成后，已轮循的归档将使用 gzip 进行压缩。
delaycompress: 总是与 compress 选项一起用，delaycompress 选项指示 logrotate 不要将最近的归档压缩。
missingok: 在日志轮循期间，任何错误将被忽略，例如“文件无法找到”之类的错误。
notifempty: 如果日志文件为空，轮循不会进行。
create 644 root root: 以指定的权限创建全新的日志文件，同时 logrotate 也会重命名原始日志文件。
sharedscripts：在此关键字之后的脚本执行一次。
prerotate/endscript：在日志轮替之前执行脚本命令。endscript 标识 prerotate 脚本结束。
postrotate/endscript: 在所有其它指令完成后，postrotate 和 endscript 里面指定的命令将被执行。