当前位置：首页 > news >正文

Linux文件系统与日志分析

news 来源：原创 2025/8/25 9:31:44

一.日志

1.1日志的定义

1.2日志的功能

1.3日志的分类

1.4日志的文件格式

1.5用户日志

1.6一些常见的日志

1.7日志消息的级别

二.系统日志管理 rsyslog

2.1rsyslog的定义

2.2rsyslog 配置文件

2.3rsyslog的实际应用----单独显示某一服务的日志

1.编辑rsyslog配置文件

2.编辑ssh服务的配置文件/etc/ssh/sshd_config

3. 重启服务，使用ssh

4.查看ssh服务的日志是否独立列出

2.4rsyslog实际应用-----将远程主机的日志备份到本机

编辑 1.加载主机B的rsyslog的ICMP和TCP模块

2.修改主机A的rsyslog配置文件

3.观察主机B能否收到主机A的消息

三.文件系统

2.1文件的组成

2.2inode表概述

2.2.1什么是inode

2.2.2什么是block

2.2.3 Inode和block的区别

2.2.4inode表的内容

2.2.5inode号

2.2.5.1inode号的定义

2.2.5.2 查看Inode号的方式

2.2.6三个时间戳

2.2.7目录文件结构

编辑

2.2.8硬盘分区后的结构

2.2.9访问文件的流程

四.日志管理工具 journalctl（了解）

一.日志

1.1日志的定义

在IT系统中，日志是记录系统运行状态、操作事件或数据变更的时序性文件或数据流。其核心目的是为系统行为提供可追溯的详细记录。

1.2日志的功能

故障排查与恢复
安全审计
性能分析与优化
行为追踪与调优

1.3日志的分类

内核及系统日志：由系统服务rsyslog统一进行管理，日志格式基本相似，主配置文件/etc/rsyslog.conf。

用户日志 : 记录系统用户登录及退出系统的相关信息。

程序日志 : 由各种应用程序独立管理的日志文件，记录格式不同一。

1.4日志的文件格式

日志的文件格式包括以下四列：

事件产生的时间。
产生事件的服务器的主机名。
产生事件的服务名或程序名。
事件的具体信息。

1.5用户日志

/var/log/lastlog	记录系统中所有用户最后一次的登录时间的曰志。这个文件也是二进制文件.不能直接用Vi 查看。而要使用lastlog命令查看
/var/log/secure	记录验证和授权方面的倍息，只要涉及账户和密码的程序都会记录，比如系统的登录、ssh的登录、su切换用户，sudo授权，甚至添加用户和修改用户密码都会记录在这个日志文件中
/var/log/wtmp	永久记录所有用户的登陆、注销信息，同时记录系统的启动、重启、关机事件。同样，这个文件也是二进制文件.不能直接用Vi查看，而要使用last命令查看
/var/tun/ulmp	记录当前已经登录的用户的信息。这个文件会随着用户的登录和注销而不断变化，只记录当前登录用户的信息。同样，这个文件不能直接用Vi查看，而要使用w、who、users等命令查看

1.6一些常见的日志

/var/log/messages内核和公共日志	它是核心系统日志文件，其中包含了系统启动时的引导信息，以及系统运行时的其他状态消息。I/O 错误、网络错误和其他系统错误都会记录到此文件中。其他信息，比如某个人的身份切换为 root，已及用户自定义安装软件的日志，也会在这里列出。
/var/log/cron 计划任务日志	记录与系统定时任务相关的曰志
/var/log/dmesg 系统引导日志	记录了系统在开机时内核自检的信息，也可以使用dmesg命令直接查看内核自检信息
/var/log/maillog 邮件日志	记录邮件信息的曰志

1.7日志消息的级别

在 Linux 内核中，根据日志消息的重要程度不同，将其分为不同的优先级别（数字等级越小，优先级越高，消息越重要）

0 EMERG（紧急）：会导致主机系统不可用的情况。

1 ALERT（警告）：必须马上采取措施解决的问题。

2 CRIT（严重）：比较严重的情况。

3 ERR（错误）：运行出现错误。

4 WARNING（提醒）：可能影响系统功能，需要提醒用户的重要事件。

5 NOTICE（注意）：不会影响正常功能，但是需要注意的事件。

6 INFO（信息）：一般信息。

7 DEBUG（调试）：程序或系统调试信息等

二.系统日志管理 rsyslog

2.1rsyslog的定义

Rsyslog（Rocket-fast Syslog）是一个高性能、模块化的开源日志处理工具，用于收集、过滤、转换和存储日志数据，内核及系统日志由系统服务 rsyslog 统一管理。

2.2rsyslog 配置文件

rsyslog的配置文件是/etc/rsyslog.conf

/etc/rsyslog.conf 配置文件格式：由三部分组成

MODULES：相关模块配置
GLOBAL DIRECTIVES：全局配置
RULES：日志记录相关的规则配置

注意：局部配置优先于全局配置

全局配置：如果局部设置没有规定，那么按全局配置走
局部配置：不管全局配置是否有配置，全按局部配置走

2.3rsyslog的实际应用----单独显示某一服务的日志

1.编辑rsyslog配置文件

vim /etc/rsyslog.conf 74 local6.*     /var/log/nssh.log    #添加的内容//local6为日志源  *表示任意级别  /var/log/nssh.log为日志路径

2.编辑ssh服务的配置文件/etc/ssh/sshd_config

vim /etc/ssh/sshd_config#修改ssh配置文件，32下一行添加自己的自定义
32 #SyslogFacility AUTHPRIV
33 SyslogFacility LOCAL6

3. 重启服务，使用ssh

systemctl restart rsyslog.service sshd //重启服务

ssh 192.168.52.100 //远程连接其他主机

4.查看ssh服务的日志是否独立列出

cat /var/log/nssh.log

2.4rsyslog实际应用-----将远程主机的日志备份到本机

1.加载主机B的rsyslog的ICMP和TCP模块

systemctl   stop  firewalld   //关闭防火墙

vim /etc/rsyslog.conf  //编辑配置文件

 19 $ModLoad imtcp    //加载rsyslog的imtcp模块，imtcp模块用于接收通过TCP协
议发送的日志消息20 $InputTCPServerRun 514   //用于启动rsyslog的TCP服务器模式，监听TCP端
口514以接收日志消息

systemctl restart rsyslog.service //重启使生效

ss -ntap |grep 514   //查看端口是否开启

2.修改主机A的rsyslog配置文件

vim /etc/rsyslog.conf  //编辑配置文件19 $ModLoad imtcp   
20 $InputTCPServerRun 514                         //加载模块#复制54行                                                   改成主机C的ip地址
55 *.info;mail.none;authpriv.none;cron.none                @@192.168.91.100

systemctl restart rsyslog.service   //重启使生效

3.观察主机B能否收到主机A的消息

使用logger命令，模拟日志


logger "2025-04-07 from A"

实时追踪主机B的消息日志

tail -f -n2 /var/log/messages  //实时追踪消息日志的最后两行

三.文件系统

2.1文件的组成

文件元数据（Metadata）：描述文件属性的信息，不包含实际数据内容，由文件系统管理。
文件数据（Data）：文件的实际内容，存储在磁盘或其他存储介质中。

而元数据是存放在inode（index node）表中

2.2inode表概述

2.2.1什么是inode

Inode（Index Node，索引节点）是 Unix/Linux 文件系统（如 ext4、XFS、Btrfs）中的核心数据结构，用于存储文件的 元数据（Metadata）和 物理存储位置。

每个inode有唯一的编号标识，文件系统使用这些编号来查找和访问文件。
文件名和inode之间建立了映射关系，通过文件系统的目录结构可以将文件名与相应的inode关联起来，从而可以通过文件名来访问文件。

当文件被删除时，只删除了与文件名相关联的inode，而文件的实际数据并没有立即被清除。
只有当文件没有任何指向它的inode时，系统才会释放文件的存储空间。

2.2.2什么是block

文件是存储在硬盘上的，硬盘的最小存储单位叫做*扇区"（sector），每个扇区存储512字节。

一般连续八个扇区组成一个“块（block）”，一个块是4K大小，是文件存取的最小单位。

2.2.3 Inode和block的区别

inode 号是用于标识和管理文件的唯一索引节点的标识符，inode表包含文件的元数据。
block 块是文件系统中用于存储文件实际数据的最小单位，由文件系统进行分配和管理，并通过 inode 号中的指针关联到对应的文件。

2.2.4inode表的内容

inode number 节点号
文件类型
权限
UID
GID
链接数（指向这个文件名路径名称个数）
该文件的大小和不同的时间戳
指向磁盘上文件的数据块指针
有关文件的其他数据

2.2.5inode号

2.2.5.1inode号的定义

Inode 号（Inode Number）是 Unix/Linux 文件系统中用于唯一标识文件或目录的 数字索引值。每个文件或目录在被创建时，文件系统会分配一个独一无二的 Inode 号，用于管理文件的元数据和存储位置。

注意：

在同一个文件系统（分区）内，Inode 号是唯一的。
不同文件系统（如 / 和 /home）可能有重复的 Inode 号。

2.2.5.2 查看Inode号的方式

stat 文件名   //查看文件的Inode号

df -i   // 查看文件系统的Inode号

ls -i 文件名/目录   //查看Inode号 ， 目录要用绝对路径

2.2.6三个时间戳

时间戳	缩写	触发条件	查看命令	示例场景
最后修改时间	`mtime`	文件内容被修改	`ls -l` 或 `stat`	编辑文件后更新
最后访问时间	`atime`	文件内容被读取	`ls -lu` 或 `stat`	用 `cat` 查看文件时更新
最后变更时间	`ctime`	文件元数据或内容被修改	`ls -lc` 或 `stat`	用 `chmod` 改权限时更新

2.2.7目录文件结构

目录文件的结构就是一系列目录项（dirent）的列表。
每个目录项，由两部分组成：所包含文件的文件名，以及该文件名对应的inode号码。

ls -i 目录    //查看目录下所有文件的Inode号

2.2.8硬盘分区后的结构

2.2.9访问文件的流程

四.日志管理工具 journalctl（了解）

配置文件位置：

/etc/systemd/journald.conf

journalctl命令格式：

journalctl [OPTIONS...] [MATCHES...]

部分选项说明：

--no-full, --full, -l如果字段内容超长则以省略号(...)截断以适应列宽。默认显示完整的字段内容(超长的部分换行显示或者被分页工具截断)。老旧的 -l/--full 选项 仅用于撤销已有的 --no-full 选项，除此之外没有其他用处。
-a, --all完整显示所有字段内容， 即使其中包含不可打印字符或者字段内容超长。
-f, --follow只显示最新的日志项，并且不断显示新生成的日志项。 此选项隐含了 -n 选项。
-e, --pager-end在分页工具内立即跳转到日志的尾部。 此选项隐含了 -n1000以确保分页工具不必缓存太多的日志行。 不过这个隐含的行数可以被明确设置的 -n选项覆盖。 注意，此选项仅可用于 less(1) 分页器。
-n, --lines=限制显示最新的日志行数。 --pager-end 与 --follow 隐含了此选项。此选项的参数：若为正整数则表示最大行数； 若为 "all" 则表示不限制行数；若不设参数则表示默认值10行。
--no-tail显示所有日志行， 也就是用于撤销已有的 --lines= 选项(即使与 -f 连用)。
-r, --reverse反转日志行的输出顺序， 也就是最先显示最新的日志。

一.日志

1.1日志的定义

1.2日志的功能

1.3日志的分类

1.4日志的文件格式

1.5用户日志

1.6一些常见的日志

1.7日志消息的级别

二.系统日志管理 rsyslog

2.1rsyslog的定义

2.2rsyslog 配置文件

2.3rsyslog的实际应用----单独显示某一服务的日志

1.编辑rsyslog配置文件

2.编辑ssh服务的配置文件/etc/ssh/sshd_config

3. 重启服务，使用ssh

4.查看ssh服务的日志是否独立列出

2.4rsyslog实际应用-----将远程主机的日志备份到本机

1.加载主机B的rsyslog的ICMP和TCP模块

2.修改主机A的rsyslog配置文件

3.观察主机B能否收到主机A的消息

三.文件系统

2.1文件的组成

2.2inode表概述

2.2.1什么是inode

2.2.2什么是block

2.2.3 Inode和block的区别

2.2.4inode表的内容

2.2.5inode号

2.2.5.1inode号的定义

2.2.5.2 查看Inode号的方式

2.2.6三个时间戳

2.2.7目录文件结构

2.2.8硬盘分区后的结构

2.2.9访问文件的流程

四.日志管理工具 journalctl（了解）

相关文章：