Hướng dẫn cấu hình và xem log trên Linux (Ubuntu và CentOS)

Giới thiệu

Quản trị viên hệ thống Linux thường cần xem các tệp nhật ký cho mục đích khắc phục sự cố. Đây là một trong những điều đầu tiên mà một system admin sẽ làm.

Bài viết bao gồm những thông tin chi tiết về các loại log khác nhau trên hệ thống Linux, cách cấu hình để lưu log vào file, cách xem và quản lý các file log đã được tạo ra, cũng như các công cụ hữu ích để phân tích và giải mã các thông tin trong các file log. Do đó, biết nơi hệ thống lưu giữ các tệp nhật ký và cách sử dụng các lệnh liên quan có thể giúp tiết kiệm thời gian quý báu trong quá trình khắc phục sự cố.

Trong hướng dẫn này, chúng ta sẽ xem xét các phần khác nhau của cơ chế ghi nhật ký Linux.

I. Tệp nhật ký mặc định

1. Kiểm tra vị trí tệp nhật ký

Vị trí mặc định cho các tệp nhật ký trong Linux là /var/log. Bạn có thể xem danh sách các tệp nhật ký trong thư mục này bằng lệnh sau:

ls /var/log

Bạn sẽ thấy nội dung tương tự trên hệ thống của mình:

2. Xem nội dung tệp nhật ký

Dưới đây là một số tệp nhật ký phổ biến mà bạn sẽ tìm thấy bên dưới /var/log:

• wtmp
• utmp
• dmesg
• messages
• maillog hoặc mail.log
• spooler
• auth.log hoặc secure

Các tệp wtmp và utmp tệp theo dõi người dùng đăng nhập và đăng xuất khỏi hệ thống. Bạn không thể đọc trực tiếp nội dung của các tệp này bằng cat các lệnh trong thiết bị đầu cuối – có các lệnh cụ thể khác cho việc đó và bạn sẽ sử dụng một số lệnh này. hoặc

Để xem ai hiện đang đăng nhập vào máy chủ Linux, hãy sử dụng lệnh :

who

Để xem lịch sử đăng nhập người dùng, ta dùng lệnh :

last

Bạn cũng có thể sử dụng last lệnh với dấu gạch ngang ( |) để thêm grep tìm kiếm cho những người dùng cụ thể.
Để xem lịch sử khởi động lại lần cuối, ta dùng lệnh :

last reboot

Để xem lần cuối ai đó đăng nhập vào hệ thống là khi nào, hãy sử dụng

lastlog

II. Sử dụng rsyslog Daemon

Trung tâm của cơ chế ghi nhật ký là rsyslog daemon. Dịch vụ này chịu trách nhiệm lắng nghe các thông báo tường trình từ các phần khác nhau của hệ thống Linux và định tuyến thông báo tới một tệp nhật ký thích hợp trong thư mục/var/log. Nó cũng có thể chuyển tiếp các thông điệp bản ghi đến một máy chủ Linux khác.

1. Tệp cấu hình rsyslog

Cơ bản trên file rsyslog.conf mặc định cho chúng ta thấy nơi lưu trữ các log tiến trình của hệ thống:

cat /etc/rsyslog.conf

Cấu hình trên được chia ra làm 2 trường:

Trường 1: Trường Seletor

• Trường Seletor : Chỉ ra nguồn tạo ra log và mức cảnh bảo của log đó.
• Trong trường seletor có 2 thành phần và được tách nhau bằng dấu “.“

Trường 2: Trường Action

• Trường Action:là trường để chỉ ra nơi lưu log của tiến trình đó. Có 2 loại là lưu tại file trong localhost hoặc gửi đến IP của máy chủ Log

Đối với các dòng lệnh như sau:

mail.info         /var/log/maillog

Lúc này bản tin log sẽ mail lại với mức cảnh báo từ info trở lên. Cụ thể là mức notice,warn,… nếu bạn chỉ muốn nó log lại với mức info, hãy sử dụng như sau: mail.=info /var/log/maillog

mail.*

Lúc này kí tự * đại diên cho các mức cảnh báo nó sẽ lưu hết các level của mail vào trong thư mục. Tương tự khi đặt *. thì lúc này nó sẽ log lại tất cả các tiến trình của hệ thống vào một file. Nếu bạn muốn log lại tiến trình của mail ngoại trừ mức info bạn có thể dùng kí tự “!”

Ví dụ: mail.!info

*.info;mail.none;authpriv.none;cron.none /var/log/messages

Lúc này tất các log từ info của tiến trình hệ thống sẽ được lưu vào trong file log messages nhưng đối với các log của mail, authpriv và cron sẽ không lưu vào trong message

2. Tạo và kiểm tra thông báo log của riêng bạn

Bây giờ là lúc để bạn tạo các tệp nhật ký của riêng mình. Để kiểm tra điều này, bạn sẽ làm như sau:

• Thêm đặc tả tệp nhật ký vào tệp /etc/rsyslog.conf
• Khởi động lại rsyslog daemon
• Kiểm tra cấu hình bằng tiện ích logger

Ví dụ: bạn sẽ thêm hai dòng mới vào tệp của hệ thống CentOS Linux rsyslog.conf. Mỗi người trong số họ đến từ một cơ sở gọi là local4 và họ có các ưu tiên khác nhau.

local4.crit               /var/log/local4crit.log  
local4.=info              /var/log/local4info.log  

vi /etc/rsyslog.conf

Tiếp theo, bạn sẽ khởi động lại dịch vụ để dữ liệu tệp cấu hình được tải lại:

/etc/init.d/rsyslog restart

systemctl restart rsyslog

Để tạo thông báo nhật ký ngay bây giờ, ứng dụng nhật ký được gọi là:

logger -p local4.info " Day la mot thong bao tin tu local4 "

Bây giờ tìm trong thư mục /var/log hiển thị hai tệp mới:

Mở file lên sẽ thấy thông báo khi nãy

III. Cấu hình Logrotate

1. Rotating Log Files

Khi ngày càng có nhiều thông tin được ghi vào tệp nhật ký, chúng sẽ ngày càng lớn hơn. Điều này rõ ràng đặt ra một vấn đề hiệu suất tiềm năng. Ngoài ra, việc quản lý các tập tin trở nên cồng kềnh.

Các tệp này sẽ quay trở lại trong một khoảng thời gian và sẽ đại diện cho hồ sơ tồn đọng. Khi một số lượng tồn đọng nhất định đã được tạo, một vòng quay nhật ký mới sẽ khiến tệp nhật ký cũ nhất bị xóa.

Vòng quay được bắt đầu thông qua tiện ích logrotate.

cat /etc/logrotate.conf

Ngoại lệ duy nhất là cho tập tin wtmp và btmp . wtmp theo dõi các lần đăng nhập hệ thống và btmp theo dõi các lần đăng nhập không hợp lệ. Cả hai tệp nhật ký này sẽ được luân phiên hàng tháng và không có lỗi nào được trả về nếu có thể tìm thấy bất kỳ tệp trước đó wtmp hoặc tệp nào. btmp

Các cấu hình xoay nhật ký tùy chỉnh được giữ trong thư mục /etc/logrotate.d. Chúng cũng được bao gồm trong chỉ thị logrotate.conf with include. 

ls -l /etc/logrotate.d

Ví dụ : Xem thông tin cấu hình của gói bootlog

Trong đó:

missingok: Nếu file log bị mất hoặc không tồn tại *.log thì logrotate sẽ tự động di chuyển tới phần cấu hình log của file log khác mà không cần phải xuất ra thông báo lỗi

daily: Được rotate mỗi ngày

copytruncate: File bootlog cũ được sao chép vào một tệp lưu trữ, và sau đó nó xóa các dòng log cũ

rotate 7: Giữ lại 7 file log cũ sau khi rotate

notifempty: Không rotate log nếu file bootlog này trống

2. Rotate theo dung lượng file log

Chúng ta có thể quy định tiến trình rotate dựa vào dung lượng file. Với /var/log/wtmp khi size 1M sẽ tạo tệp mới:

cat /etc/logrotate.conf

Ví dụ trên các tùy chọn có ý nghĩa như sau:

size 1M: Logrotate chỉ chạy nếu kích thước tệp bằng (hoặc lớn hơn) kích thước này.

minsize có nghĩa là kích thước nhật ký ít nhất phải là minsize để việc xoay tần số xảy ra. Tần suất hàng ngày (được gọi là hàng ngày từ cron) sẽ không có tác dụng gì nếu kích thước nhỏ hơn minsize.

maxsize có nghĩa là, ngoài tần suất chạy, nếu kích thước vượt quá maxsize, một vòng quay có thể xảy ra. Nếu cấu hình có tần suất hàng tuần được gọi là hàng ngày và nếu kích thước lớn hơn kích thước tối đa, thì việc xoay vòng có thể xảy ra.

create Rotate tệp gốc và tạo tệp mới với sự cho phép người dùng và nhóm được chỉ định.

rotate Giới hạn số vòng quay của fle log. Vì vậy, điều này sẽ chỉ giữ lại 1 file log được rotate gần nhất.

3. Chạy Logrotate thủ công và kiểm tra

Để xem cách thức hoạt động này, đây là danh sách một phần các tệp nhật ký trong thư mục trong máy chủ CentOS thử nghiệm:

ls -l /var/log

Khi chúng ta muốn chạy ngay Logrotate, hãy dùng lệnh bên dưới:

logrotate -vf /etc/logrotate.d/

Trong đó các tuỳ chọn là:

-v: Hiển thị thêm thông tin, có ích khi bạn muốn dò lỗi logrotate

-f: Bắt buộc rotate ngay lập tức

Tin nhắn cuộn qua khi tệp mới được tạo, gặp lỗi, v.v. Bạn kiểm tra các tệp hoặc đã được tạo mới: mail secure message

ls -l /var/log/mail*

ls -l /var/log/messages*

ls -l /var/log/secure*

Chúng ta sẽ thấy nhật ký mới đã được tạo. Các tệp vẫn trống, nhưng tệp mới đã có một số dữ liệu trong đó.

4. Một số cấu hình khác

Chúng ta vẫn cấu hình trong tệp logrotate.conf :

vi /etc/logrotate.conf

Sao chép logrotate – copytruncate

Nén – compress

logextate dateext – dateext

Cú pháp này sẽ chỉ làm việc một lần trong một ngày. Vì vậy, logrotate sẽ không thành công sau lần chạy đầu tiên cùng ngày.

Đăng nhập hàng tháng, hàng ngày, hàng tuần – monthly, daily, weekly

Kết thúc postrotate – postrotate

Maxage Logrotate – maxage

Logrotate missingok – missingok

Hy vọng rằng hướng dẫn này đã cung cấp cho bạn một số ý tưởng về ghi nhật ký Linux. Bạn có thể cố gắng xem xét các hệ thống phát triển hoặc thử nghiệm của riêng bạn để có một ý tưởng tốt hơn. Chúc bạn thành công !