- 深入理解Linux文件系统与日志分析
- 1.inode和block概述
- 2.inode内容
- 3.日志文件
- 1）日志的功能
- 2）日志文件的分类
- 3）日志保存位置
- 4）主要日志文件介绍
- 5）内核及系统日志
- 6）日志消息级别
- 7）日志记录的一般格式
- 4.日志分析
- 1）用户日志分析
- 2）程序日志分析
- 5.日志管理策略
文件数据包括元信息与实际数据
文件存储在硬盘上,硬盘的最小存储单位叫做"扇区"，每个扇区存储512字节
●block块
连续的八个扇区组成一个block
是文件存取的最小单位
●inode
中文译名为“索引节点”，也叫 i 节点
用于存储文件元信息
2.inode内容inode包含文件的元信息
- 文件的字节数
- 文件拥有者的 User ID
- 文件的 Group ID
- 文件的读、写、执行权限
- 文件的时间戳
- …
查看文件名对应的inode号有两种方式：
ls -i 1.txt
stat 1.txt
●inode也会消耗硬盘空间，所以格式化的时候，操作系统自动将硬盘分成两个区域，一个是数据区，存放文件数据，另一个是inode区，存放inode所包含的信息。每个inode的大小一般是128字节或256字节
通常情况下不需要关注单个inode的大小，而是需要重点关注inode总数，inode的总数在格式化时就给定了，执行 df -i 命令即可查看每个硬盘分区对应的inode总数和已经使用的inode数量
●由于inode号码与文件名分离，导致一些Linux系统具备以下几种特有的现象
1.文件名包含特殊字符，可能无法正常删除。这时直接删除inode，能够起到删除文件的作用
find ./ -inum 节点号 -delete
find ./ -inum 节点号 -exec rm -i {};
2.移动文件或重命名文件，只是改变文件名，不影响inode号码
3.打开一个文件以后，系统就以inode号码来识别这个文件，不再考虑文件名
4.文件数据被修改保存后，会生成一个新的inode号码
- 用于记录系统、程序运行中发生的各种事件
- 通过阅读日志，有助于诊断和解决系统故障
- 内核及系统日志
由系统服务 rsyslog 统一进行管理，日志格式基本相似 - 用户日志
记录系统用户登录及退出系统的相关信息 - 程序日志
由各种应用程序独立管理的日志文件，记录格式不统一
默认位于： /var/log 目录下
4）主要日志文件介绍| 内核及公共消息日志 | /var/log/messages |
|---|---|
| 计划任务日志 | /var/log/cron |
| 系统引导日志 | /var/log/dmesg |
| 邮件系统日志 | /var/log/maillog |
| 用户登录日志 | /var/log/lastlog、/var/log/secure、/var/log/wtmp、/var/run/btmp |
由系统服务 rsyslog 统一管理
软件包：rsyslog-7.4.7-16 el7.×86_64
主要程序：/sbin/rsyslogd
配置文件：/etc/rsyslog.conf
6）日志消息级别 7）日志记录的一般格式 4.日志分析 1）用户日志分析分析工具：users、who、w、last、lastb
2）程序日志分析由相应的应用程序独立进行管理
●Web 服务：/var/log/httpd/
access_log、error_log
●代理服务：/var/log/squid/
access.log、cache.log
●FTP服务：/var/log/xferlog
分析工具
●文本查看、grep 过滤检索、Webmin 管理套件中查看
●awk、sed 等文本过滤、格式化编辑工具
●Webalizer、Awstats 等专用日志分析工具
5.日志管理策略- 及时做好备份和归档
- 延长日志保存期限
- 控制日志访问权限
日志中可能会包含各类敏感信息，如账户和口令等 - 集中管理日志
将服务器的日志文件发到统一的日志文件服务器
便于日志信息的统一收集、 整理和分析
杜绝日志信息的意外丢失、恶意篡改或删除
