Система Syslog и журналы логов в Linux

В процессе своей работы система отслеживает и сохраняет в специальные файлы некоторые события, которые она считает важными или просто нужными для использования в целях исправления и отладки ошибок, сбойных конфигураций и т. д. Файлы, в которых хранятся эти события называются файлами журналов или файлами регистрации. Нередко файлы регистрации занимают слишком много дискового пространства, что может свидетельствовать как о неисправности системы, ошибках конфигураций, так и о просто неправильной настройке демонов регистрации событий, которые отслеживают и собирают всё подряд. Таким образом работа с системой регистрации событий — важная составляющая в работе любого системного администратора, от которой всецело зависит качество обслуживания систем и как следствие — их надёжность и долговечность.

Как устроена система регистрации событий?

Опытные системные администраторы знают, что просматривать и анализировать журналы (файлы) регистраций необходимо регулярно и с особой тщательностью. Информация, содержащаяся в журналах очень часто помогает быстро решить возникающие неполадки или выявить скрытые проблемы в конфигурации системы. Для отслеживания событий системой, проверки журналов, учёта, хранения, архивирования и удаления информации из этих журналов должен быть разработан и утверждён специальный регламент для организации, эксплуатирующей и/или обслуживающей системы, серверы и сети.

Основным инструментом регистрации событий в UNIX и Linu до сих пор остаётся демон syslogd системы Syslog. Но следует иметь в виду также и то, что на протяжении длительного времени из-за многообразия всевозможных ответвлений UNIX и версий Linux множество программных пакетов, служебных скриптов, сетевых демонов используют свои собственные журналы, порой отличающимся экзотическим форматом.

В общем случае системой Syslog (и другими специализированными программами) производится перехват отслеживаемого события и регистрация его в файле регистрации. Само регистрируемое событие представляет собой строку текста, содержащую данные о дате/времени, типе, степени важности события. Также в этот набор могут быть, в зависимости от ситуации, включены и другие данные. Сама строка регистрируемого события для выделения указанных компонентов разбивается символами-разделителями: пробелы, табуляции, а также знаками пунктуации.

Журналы регистрации легко просматривать, поскольку они являются обычными текстовыми файлами. Для эффективной работы с журналами используются самые стандартные инструменты из базовой поставки любого дистрибутива — команды cat и grep. Если нужно «ворошить» очень большие и сложные по формату журналы, то можно (и даже нужно) вместо утилиты grep использовать другой, гораздо более производительный и гибкий в подобных задачах инструмент — утилиту awk. Язык обработки текста Perl также очень хорошо подходит для этого.

Типичная запись системного журнала системы Syslog обычно выглядит следующим образом:

В данном случае можно видеть, что в одном из журналов Syslog собраны события из нескольких источников: программы sbathd, pingem, pop-proxy. Также можно видеть, что события регистрируются для нескольких хостов, взаимодействующих с данной системой: backup, system, office и service.

log файлы и их расположение в Linux

Как уже отмечалось, в системах UNIX и Linux нет чётких соглашений о том, где и как должны храниться журналы регистрации. Они могут быть разбросаны хоть по всей файловой системе, поэтому для каждого администратора важно сразу разобраться, где и для каких пакетов и демонов находятся соответствующие файлы журналов. Но несмотря на отсутствие чётких формальных регламентов относительно мест хранения журналов, всё же существует традиционно сложившееся правило, что эти файлы должны находиться в каталогах /var/log, /var/log/syslog, а также в /var/adm.

Как правило, доступ для чтения файлов в указанных каталогах предоставляется только суперпользователю, однако нет ничего страшного, если для часто просматриваемых журналов, в которых также нет важной системной информации настроить более «демократический» режим доступа. Обычно к такому варианту также прибегают для удобства и экономии времени, когда нужно часто и регулярно изучать некоторые журналы, например для веб-сервера Apache, которые обычно находятся в /var/log/apache2 или /var/log/httpd.

Стоит также помнить и о том, что бывают случаи, когда (особенно на сбойных конфигурациях) общий объём файлов журналов резко увеличивается, при этом велик риск «уложить» систему. Для удобства контроля за свободным пространством на устройствах хранения, а также для надёжности каталог /var часто выносят в отдельную файловую систему на отдельном разделе.

Некоторые специальные файлы журналов

В следующей таблице приводятся сведения о некоторых журнальных файлах, информация из которых очень полезна для системного администрирования:

Файл	Программа	Место	Частота	Системы	Назначение
acpid	acpid	Ф	64к	RZ	События, связанные с системой питания
auth.log	sudo и прочие	S	М	U	Информация об авторизации
apache2/*	httpd или apache2	Ф	Д	ZU	Журналы веб-сервера Apache
apt*	APT	Ф	М	U	Установщики пакетов
boot.log	Сценарии запуска системы	Ф	М	R	Логи сценариев запуска
boot.msg	Ядро	В	—	Z	Образ буфера сообщений ядра
cron, cron/log	cron	S	Н	RAH	Логи и сведения о работе демона cron
cups/*	CUPS	Ф	Н	ZRU	Сообщения, связанные с системой печати (CUPS)
daemon.log	Разное	S	Н	U	Сообщения средств демонов
debug	Разное	S	Д	U	Сообщения для отладки
dmesg	Ядро	В	—	RU	Образ буфера сообщений ядра
dpkg.log	dpkg	Ф	М	U	Установщики пакетов
faillog	login	Н	Н	RZU	Информация о неудачных попытках авторизации
apache2/*	Httpd или apache2	Ф	Д	R	Журналы веб-сервера Apache для каталога /etc
kern.log	login	В	—	RZ	Все сообщения средств ядра
lastlog	login	В	—	RZ	Время последней регистрации в системе каждого пользователя (этот файл бинарный)
mail*	Программы электронной почты	S	Н	Все	Сообщения средств электронной почты
messages	Разное	S	Н	RZUS	Основной системный журнальный файл
rpmpkgs	cron.daily	В	Д	R	Список установленных RPM-пакетов
samba/*	smbd и прочие	Ф	Н	—	Сведения о работе сервера Samba
secure	sshd и прочие	S	М	R	Конфиденциальные авторизационные сообщения
sulog	su	Ф	—	SAH	Сведения об удачных и неудачных попыток использования команды su
syslog*	Разное	S	H	SUH	Основной системный журнальный файл
warn	wpar	S	H	Z	События уровня системных предупреждений/ошибок
wpars/*	wpar	Ф	—	А	Сведения о событиях загрузочных разделов
wtmp	login	В	M	Все	Сообщения о регистрации в системе (бинарный файл)
xen/*	Xen	Ф	1m	RZU	Информация от монитора виртуальных машин Xen
Xorg.n.log	Xorg	Ф	Н	RS	Сообщения об ошибках сервера X Windows
yum.log	yum	Ф	М	R	Журнал управления пакетом

Для данной таблицы действуют следующие обозначения: S — Syslog, В — встроенное имя, Ф — конфигурационный файл, Д — ежедневно, Н — еженедельно, М — ежемесячно, NN[km] — размер в килобайтах или мегабайтах, Z — SUSE, R — Red Hat и CentOS, S — Solaris, H — HP-UX, A — AIX. В столбце «Частота» указывается частота, с которой удаляется устаревшая информация, связанная со временем или с объёмом файла. В столбце «Программа» указывается программа, создающая файл.

Следует отметить также, что большая часть сообщений для представленных в таблице файлов направляется в систему Syslog. Уровень критичности и программа, создающая файл задаются в конфигурационном файле /etc/initlog.conf. — так работает система Syslog. Файл faillog является двоичным, и поэтому может быть прочтён утилитой failog.

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.

Syslog

syslog

syslog — стандарт отправки сообщений о происходящих в системе событиях (логов), использующийся в компьютерных сетях, работающих по протоколу IP.

Протокол syslog прост: отправитель посылает короткое текстовое сообщение, размером меньше 1024 байт получателю сообщения. Получатель при этом носит имя «syslogd», «syslog daemon», либо же, «syslog server». Сообщения могут отправляться как по UDP, так и по TCP. Как правило, такое сообщение отсылается в открытом виде. Тем не менее, используя специальные средства (такие, как Stunnel, sslio или sslwrap), возможно шифрование сообщений и отправка их по SSL/TLS.

Syslog используется для удобства администрирования и обеспечения информационной безопасности. Он реализован под множество платформ и используется в множестве устройств. Поэтому, использование syslog позволяет обеспечить сбор информации с разных мест и хранение её в едином репозитории.

Командный интерфейс к syslog — logger

Содержание

История

Syslog был разработан в 1980 году Эриком Оллманом (Eric Allman) как часть проекта Sendmail, и использовался первоначально только для Sendmail. Зарекомендовав себя как стабильное и удобное решение, Syslog был использован и в других приложениях, став стандартом логгирования в системах UNIX и GNU/Linux. Позднее появились реализации и под другие операционные системы.

До недавнего времени, syslog использовался как стандарт de facto без каких-либо формальных спецификаций. Поэтому существовало множество реализаций, некоторые из которых были несовместимы друг с другом. Первые шаги по решению этой проблемы были предприняты в 2001 году — протокол syslog был описан в RFC 3164. Формальная спецификация, стандартизация содержания сообщений и механизм их передачи были выпущены в 2005 году.

Реализации

UNIX-подобные ОС

• sysklogd
• rsyslogd: Implements syslog over TCP and RFC 3195 support
• syslog-ng Переводы страниц руководства на русский язык доступны по ссылке syslog-ng
• metalog
• msyslog
• socklog

Microsoft Windows NT 5.x

• syslog-win32 реализация клиента и сервера (BSD/GPL/public domain)
• Kiwi Syslog Daemon
• MonitorWare Products: MonitorWare Agent, WinSyslog
• NetDecision LogVision
• NTsyslog
• EvtSys — syslog клиент, отправляющий на syslog сервер информацию из EventLog Windows.
• Syslog Watcher
• SL4NT — простейший syslog-сервер, пишет принятые сообщения в системный журнал событий Windows.
• Small Syslog Server — Маленький и производительный Syslog сервер под ОС Windows XP/2003/7.

Кросс-платформенная

• RFC 3164 — The BSD syslog Protocol
• RFC 3195 — Reliable Delivery for syslog (гарантированная доставка)

Wikimedia Foundation . 2010 .

Смотреть что такое «Syslog» в других словарях:

syslog — (англ. system log системный журнал) стандарт отправки и регистрации сообщений о происходящих в системе событиях (т.е. создания логов), использующийся в компьютерных сетях, работающих по протоколу IP. Термином syslog называют как ныне… … Википедия

Syslog — is a standard for forwarding log messages in an IP network. The term syslog is often used for both the actual syslog protocol, as well as the application or library sendingsyslog messages .Syslog is a client/server protocol: the syslog sender… … Wikipedia

Syslog-ng — is an open source implementation of the Syslog protocol for UNIX and UNIX like systems. It extends the original syslogd model with content based filtering, rich filtering capabilities, flexible configuration options and adds important features to … Wikipedia

Syslog — Familie: TCP/IP Einsatzgebiet: Übermittlung von Log Meldungen in einem IP Rechnernetz Ports: 514/UDP syslog im TCP/IP‑Protokollstapel: Anwendung syslog Transport … Deutsch Wikipedia

Syslog — Fonction Transmission de journaux Port UDP 514 RFC RFC 3164 … Wikipédia en Français

Syslog — es un estándar de facto para el envío de mensajes de registro en una red informática IP. Por syslog se conoce tanto al protocolo de red como a la aplicación o biblioteca que envía los mensajes de registro. Un mensaje de registro suele tener… … Wikipedia Español

Syslog-ng — Maintainer Balázs Scheidler Aktuelle Version 3.2.1 Aktuelle Vorabversion 4.7.3 (v4 devel), 25. November 2010; 5.7.2 (v5 devel), 26 November 2010; 6.1.2 (v6 devel), 16 Dezember 2010 Betriebssystem … Deutsch Wikipedia

Syslog-ng — Développeur Balázs Scheidler Première version 1998 … Wikipédia en Français

SYSLOG — System Log file … Acronyms

syslog — ● np. m. ►UNIX►APPLI Démon tenant à jour les journaux systèmes sous Unix … Dictionnaire d’informatique francophone