日志相关介绍：
1.系统日志：是记录了历史事件：包括时间地点人物事件等。日志级别：事件的关键性程度，Loglevel。
| 级号 | 消息 | 级别 | 说明 |
|---|---|---|---|
| 0 | EMERG | 紧急 | 会导致主机系统不可用的的情况 |
| 1 | ALERT | 警告 | 必须马上采取措施解决的问题 |
| 2 | CRIT | 严重 | 比较严重的情况 |
| 3 | ERR | 错误 | 运行出现错误 |
| 4 | WARNING | 提醒 | 可能会影响系统功能的事情 |
| 5 | NOTICE | 注意 | 不会影响系统但值得注意 |
| 6 | INFO | 信息 | 一般信息 |
| 7 | DEBUG | 调试 | 程序或系统调试信息等 |
rsyslog系统日志服务是软件帮助管理日志。
2.主要日志文件介绍：
内核及公共消息日志：/var/log/messages
计划任务日志：/var/log/cron
系统引导日志：/var/log/dmesg
邮件系统日志：/var/log/maillog
用户登录日志：/var/log/lastlog；/var/log/secure；/var/log/wtmp；/var/run/btmp
| 日志 | 作用 | 命令 |
|---|---|---|
| btmp | 查看登录失败的用户 | lastb |
| lastlog | 查看用户最后一次登录的情况 | lastlog |
| wtmp | 用户成功登录的日志 | last |
3.查看配置文件：rpm -qc rsyslog看到配置文件在/etc下的rsyslog.conf文件。
程序包：rsyslog。主程序：/usr/sbin/rsyslogd。库文件：/lib64/rsyslog/*.so
打开rsyslog的配置文件。vim /etc/rsyslog.conf。可以看到该文件中有三部分组成：
MODULES：相关模块配置；
GLOBAL DIRECTIVES：全局配置；
全局配置
RULES：日志记录相关的规则配置；如图：
*.info;mail.none;authpriv.none;cron.none /var/log/messages
*.info：*代表任意程序的日志,级别在info及以上就会生成日志文件并记录在指定的日志文件中。除了mail,authpriv,cron不记日志。none：没有级别，即不记录。
/var/log/messages：日志文件路径。
在RULES中还有一行：
这里的local7.* /var/log/boot.log是自定义的分类，范围在：local0-local7。这里的是默认的。
实验一：ssh日志的独立
步骤：1.修改日志配置文件(不知道在哪里，可以rpm -qc rsyslog查询)。2.修改ssh配置文件。3.重启服务。4.测试。
查询配置文件：rpm -qc rsyslog。配置文件：/etc/rsyslog.conf
1.打开配置文件：vim /etc/rsyslog.conf，在RULES下修改：自定义的配置文件。我在根下创建了一个data目录
2.打开ssh的配置文件，在/etc/ssh/sshd_config，复制32行，粘贴到33行，可以删除32行，最好注释就行以防以后找不到
3.重启服务：systemctl restart sshd rsyslog.service。关闭防火墙，关闭核心防护。重启服务。
4.测试：实时查看日志文件：tail -f /data/ssh.log
用另一台机器7-2远程登录7-1：ssh 192.168.114.10:
实时查看7-1的日志信息：
完成！
实验二：ssh远程日志
步骤：1.修改两台机器的配置文件。2.重启服务。3.测试。
还原实验一的修改信息或者直接还原快照！重新来做实验二
远程日志就是把日志写到远端机器上去。做把7-1的日志信息，远程到7-2机器上。即7-1机器是客户端，7-2机器是服务端
1.修改配置文件：
打开vim /etc/rsyslog.conf。把MODULES模块的19行20行打开，使用TCP服务，514是端口号
两台机器都要打开这两行！！！
7-1还要再修改RULES模块:日志的位置。默认在7-2机器中/var/log/messages日志中生成。
一个@符代表UDP连接，两个@代表TCP连接。我们开启的是TCP。指定远程到的机器上。
2.重启服务：systemctl restart rsyslog.service。两台机器都要重启服务，关闭防火墙，关闭核心防护，查看端口是否开启。
3.测试：实时查看服务端的日志文件：tail -f /var/log/messages
在7-1机器中写入日志文件，测试：logger "Log file from 192.168.114.10"写日志进去.实时观察服务端日志信息。
实时查看服务端日志文件：
endl
