位于/var/log目录下的20个Linux日志文件[译]

原文地址:20 Linux Log Files that are Located under /var/log Directory

如果你多数时间都在使用Linux系统,那么你有必要知道系统的日志文件位于哪里,以及每个日志文件是关于哪些内容的。在系统正常的时候学习理解各种日志文件的内容,有助于在遇到紧急情况时通过日志文件定位问题所在。

/etc/rsyslog.conf文件决定了哪些内容会被写入到对应的日志文件中,例如,这是/var/log/messages再rsyslog.conf中的相关内容:

上述的输出中:

  • *.info 表明所有带有 INFO 标志的日志信息会被记录。
  • mail.none,authpriv.none,cron.none 表明这三种错误信息不会在messages。
  • 你也可以指定 *.none,这样将没有任何日志信息被记录

接下来我们介绍20个位于/var/log目录下的日志文件。一些文件值存在于某些发行版中,例如在Debian系的系统中(如Ubuntu),你可以找到dpkg.log。

  1. /var/log/messages – 包含整个系统的信息,包括系统启动期间被记录的日志。mail, cron, daemon, kern, auth等相关的日志信息在这里记录。
  2. /var/log/dmesg – 包含内核缓冲信息(kernel ring buffer information)。在系统启动时,屏幕上会显示关于内核在启动过程中探测到的硬件设备的信息,这些消息保存再内核缓冲区直到新的消息将它覆盖。使用dmesg命令可以查看该文件中的内容。
  3. /var/log/auth.log – 包括系统的授权信息,包括用户登陆和使用的权限机制等。
  4. /var/log/boot.log – 包含系统启动时记录的日志。
  5. /var/log/daemon.log – 包括多种后台守护进程的日志信息。
  6. /var/log/dpkg.log – 包括使用dpkg命令安装或删除包时记录的信息。
  7. /var/log/kern.log – 内核记录的信息。可以帮助定位定制内核的问题。(注:在ArchLinux中为kernel.log)
  8. /var/log/lastlog – 最近所有用户的登陆信息,这不是一个ascii文件,应该使用lastlog命令来查看文件信息。
  9. /var/log/maillog /var/log/mail.log – 包含系统中运行的邮件服务的日志。例如sendmail的日志信息都会在这里被记录。
  10. /var/log/user.log – 包括所有用户等级的日志
  11. /var/log/Xorg.x.log – X系统的日志信息
  12. /var/log/alternatives.log – 关于更新替代的信息,Ubuntu中,不同的默认命令,会有不同的符号链接到对应的文件(?)On Ubuntu, update-alternatives maintains symbolic links determining default commands.
  13. /var/log/btmp – 包含尝试登陆失败的信息,使用last 命令查看,例如 “last -f /var/log/btmp | more”
  14. /var/log/cups – 所有的打印机和打印相关的
  15. /var/log/anaconda.log – 存储安装相关的信息
  16. /var/log/yum.log – 使用yum安装包时的相关信息
  17. /var/log/cron –  每当cron守护进程(或anacron)开始cron定时操作时,都会将日志信息记录再这里。
  18. /var/log/secure – 包含认证和授权相关的信息。例如sshd登陆记录的所有信息,包括失败的信息。
  19. /var/log/wtmp 或 /var/log/utmp – 包含登陆记录。使用wtmp可以查出都有谁登陆过系统,非ASCII文件。who命令通过这个文件来显示信息。(wtmp 编程)
  20. /var/log/faillog – 包含用户的失败登陆尝试,使用faillog命令显示文件内容。非ASCII文件。

除了以上的日志文件,/var/log目录也包含一些子目录,这取决于你系统上运行的应用

  • /var/log/httpd/ 或 /var/log/apache2 – 包括apache web服务器的access_log 和 error_log信息
  • /var/log/lighttpd/ – 包含lighthttpd的access_log 和 error_log信息
  • /var/log/conman/ – ConMan客户端的日志文件。(ConMan是一个console manager,需要有conmand守护进程运行)。
  • /var/log/mail/ – 包含邮件服务的额外日志。例如,sendmain会收集邮件的统计信息保存在/var/log/mail/statistics文件中
  • /var/log/prelink/ – 预链接(prelink program)修改(modifies? )已共享的库文件以及已链接的二进制文件来加速启动新的进程。/var/log/prelink/prelink.log 包含被prelink修改过的.so文件的信息。
  • /var/log/audit/ – 包含 Linux audit daemon (auditd).存储的信息(?)
  • /var/log/setroubleshoot/ – SELinux使用setroubleshootd (SE Trouble Shoot Daemon) 来通告关于文件的安全上下文问题,这里存储其日志信息。
  • /var/log/samba/ – Samba的日志信息, Samba用来能使Windows连接到Linux的共享内容
  • /var/log/sa/ – 包含sysstat软件包收集的每天的sar文件。
  • /var/log/sssd/ – 系统安全服务守护进程的相关日志。它用来管理远端目录的访问和授权。

除了手工归档日志文件,也可以使用logrotate 工具,每几天或日志文件达到一定大小时自动归档 。使用vi,grep,tail,less来查看日志文件,而不是“cat | more”

PS1:查看系统的日志,就像编程的时候查看debug信息一样,可以更加清楚的了解系统的运行情况。很早就被告知查日志找问题,却从来没有去认真了解过应该去哪里查。今天看到这个文章,干脆就给翻译过来,因为文字水平优先,很多语句可能不如原文好理解,如果不排斥英文原文,可以直接看英文原文。

PS2:日志文件似乎跟发行版等有挺大关系(其实是发行版使用的日志记录软件不同,如rsyslog和syslog-ng),加上原日志是2011年的,所以要具体问题具体分析。比如文章开头的rsyslog.conf,在我的Archlinux中就没有这个文件,在Debian 6 中可以看到和原文类似的结果。

Readmore: 来自Ubuntu Help  来自IBM Developerworks

发表评论

电子邮件地址不会被公开。 必填项已用*标注