系统日志管理
1 .rsyslog
此服务是用来采集系统日志的，他不产生日志，只是起到采集作用
2.rsyslog的管理
/var/log/messgaes ##服务信息日志
/var/log/secure ##系统登陆日志
/var/log/cron ##定时任务日志
/var/log/maillog ##邮件日志
/var/log/boot.log ##系统启动日志
指定日志采集的路径（在/etc/rsyslog.conf文件中设置）
什么类型的日志.什么级别的日志 /var/log/file ##自主设计日志采集规则
(1)日志类型的分类
auth ##pam产生的日志
authpriv ##ssh，ftp等登陆信息的验证信息
cron ##时间任务相关
kern ##内核
lpr ##打印
mail ##邮件
mark（syslog）-rsyslog ##服务内部的信息，时间标识
news ##新闻组
user ##用户程序产生的相关信息
uucp ##unix to unix copy，unix主机之间相关的通讯
local 1～7 ##自定义的日志设备
(2)日志级别分为：
debug ##有调试信息的（日志信息最多）
info ##一般信息的日志，（最常用）
notice ##最具有重要性的普通条件的信息
warning ##警告级别
err ##错误级别，阻止某个功能或者模块不能正常工作的信息
crit ##严重级别，阻止整个系统或者整个软件不能正常工作的信息
alert ##需要立即更改的信息
emerg ##内核崩溃等严重信息
none ##什么都不记录
注意：从上到下，级别从低到高，记录的信息就越来越少
查看手册查询详细信息：man 3 syslog
3.日志的远程同步
在日志发送方
vim /etc/rsyslog.conf
更改为*.* @172.25.254.26 ##规定@@标示tcp协议发送，@表示udp协议发送
systemctl restart rsyslog ##重新开启日志服务并加载修改的配置信息
在日志接受方
vim /etc/rsyslog.conf
15行改为 $ModLoad imudp ##日志接受模块
16行改为 $UDPServerRun 514 ##开启接受端口
systemctl restart rsyslog ##重启日志服务
systemctl stop firewalld ##关闭防火墙
systemctl disable firewalld ##设定防火墙开机关闭
测试：
发送方先清除再测试查看
> /var/log/messages
logger heihei ##日志测试命令
cat /var/log/messages ##查看日志已经生成
在接受方先清除再查看
> /var/log/messages
cat /var/log/messages