摘抄
来源：互联网 发布：录井数据规范 编辑：程序博客网 时间：2024/06/02 15:40
第3页、我们来聊聊syslogd和logrotate吧
第3页、我们来聊聊syslogd和logrotate吧 无忧教程网整理
[code:1:ab81583d8a]
把logfile(s)写在前面，包含文件的绝对路径，可以使用空白字元分隔多个log，也可以使用统配符置换；
用 { } 包含所有设定；
一般包括：
prerotate 在启动 logrotate 之前执行的命令，比如 /usr/bin/charrt -a /var/log/logfile；
postrotate 在执行了 logrotate 之后执行的命令，比如 /usr/bin/charrt +a /var/log/logfile;
您可以设定执行如上两个动作，也可以不设定，这依赖于您的需要。
在prerotate与postrotate之间的动作有：
weeky #每个星期执行一次
rotate 4 #保留四个日志
create #logratoe之后再建立日志
compress #rotate之后的日志是否压缩
include /etc/logrotate.d #包含/etc/logrotate.d目录下面的轮换设置
[/code:1:ab81583d8a]
如果您自己在/etc/logrotate.d下写了自己的轮换设置可以使用
[code:1:ab81583d8a]logrotate -f yourfile [/code:1:ab81583d8a]
来测试。
5.3 鉴于这个文档的设置比较明了所以不在此举例。您可以参考您的 /etc/logrotate.conf 和 /etc/logrotate.d 下面的文档看看。:D
好了，这个文档写到这里就算是结束了。正如我在文档的开始所说，这是我假期看书的一点体会，写出来是为了加深自己的理解；同时也是为了发现问题。如果您发现问题请指正。:D
llzqq 回复于：2004-05-12 20:05:04辛苦了，支持原创。
linux888 回复于：2004-05-12 20:22:32好文章，支持！
天外闲云 回复于：2004-05-12 20:23:06原创的顶一下，自己没看过这方面的东西就不发言了。
tsj 回复于：2004-05-13 10:18:44不错
foole 回复于：2004-05-13 10:33:30关于楼主讲的关于为什么自己装的httpd的log没有记录到/var/log/message中去的问题
关于*号的匹配问题
我查了下文档
是这样的
auth 由 pam_pwdb 报告的认证活动。
authpriv 包括特权信息如用户名在内的认证活动
cron 与 cron 和 at 有关的信息。
daemon 与 inetd 守护进程有关的信息。
kern 内核信息，首先通过 klogd 传递。
lpr 与打印服务有关的信息。
mail 与电子邮件有关的信息
mark syslog 内部功能用于生成时间戳
news 来自新闻服务器的信息
syslog 由 syslog 生成的信息
user 由用户程序生成的信息
uucp 由 uucp 生成的信息
local0----local7 与自定义程序使用，例如使用 local5 做为 ssh 功能
* 通配符代表除了 mark 以外的所有功能
这里的local0-local7可以让用户(程序)自定义使用
其实可以通过
man syslog
来看
elm 回复于：2004-05-13 11:37:14请问楼主把log记录到远程主机的时候,比如使用kern.* @remotehostname
他把log记到远程什么目录下了呀?可以自己定义么?
haohaoo 回复于：2004-05-13 12:46:35还没有鸟哥的好，不过还是得顶一下
零二年的夏天 回复于：2004-05-13 14:46:10[quote:af2a8d2217="foole "]
关于楼主讲的关于为什么自己装的httpd的log没有记录到/var/log/message中去的问题
[/quote:af2a8d2217]
其实，日志是我自己定义了的。这个日志我没有添加到syslog中。
我当时遇到的问题就是日志一直在增长而不会轮换。所以才着中看了着方面的材料。
感谢您提供的第二点。:D
[quote:af2a8d2217="elm"]
请问楼主把log记录到远程主机的时候,比如使用kern.* @remotehostname
他把log记到远程什么目录下了呀?可以自己定义么?
[/quote:af2a8d2217]
不好意思，关于把日志纪录到远程的机器，因为自己没有环境所以没有试验。
需要说明的是@remotehostname中的这个远程计算机您必须在/etc/hosts中做相关定义。
欢迎大家指正。
sw_yp 回复于：2004-05-13 14:51:30不错，要向楼主学习
kai0200 回复于：2004-05-14 17:12:56看看我的图，哈哈
foole 回复于：2004-05-14 19:21:25[quote:b11a27022b="elm"]请问楼主把log记录到远程主机的时候,比如使用kern.* @remotehostname
他把log记到远程什么目录下了呀?可以自己定义么?[/quote:b11a27022b]
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
在远程的log server上
log记到什么目录下还是跟facility有关(跟本机一样)
eagerly1 回复于：2004-05-17 20:29:55请问楼主：项目管理是否也有syslogd ，或者可以？
零二年的夏天 回复于：2004-05-17 20:39:22对不起，我不知道什么是项目管理。 :oops: :oops:
erjing 回复于：2004-05-18 21:06:19太好了，正在找这个呢。
楼主看的是什么书呢？
yoursmile 回复于：2004-06-17 13:19:13顶！
最近对这个比较感兴趣
jonfan 回复于：2004-06-17 15:54:16虚心学习
我爱臭豆腐 回复于：2004-08-16 19:23:53:P 写的真是不错啊.多谢多谢:)
abel 回复于：2004-09-15 03:09:26[quote:5cb7f03611]iptables自己定义了吧。
所以，关于这段的理解我只有这样的认识。如果有错误，请您指出[/quote:5cb7f03611]
是的
[quote:5cb7f03611]日志的绝对路径： 比如/var/log；
您的一个用户 ；
网络上的主机： @log.company.com
打印机： /dev/lp0 [/quote:5cb7f03611]
我解釋你沒解釋之處:
用戶: 寫 user account , 這個動作系統將以 write 指令,將 syslog 訊息丟給他
如果寫成 * , 那就會是傳給每個人 (wall)
主機:
你原來的 syslogd.conf 不要動它,在最後加一行:
*.* @FQDN
建議您使用 FQDN ,也就是 DNS 查得到的名字,不要使用 /etc/hosts,
如果你像我一樣有n 部要做日常管理(N>40),log server(後述) 改個 IP 或有
什麼狀況,你每台都要去改也太累人了,所以要用 DNS 可解的名稱來做,
要你不改原來的東西原因在於,如此你就會有兩份 syslogd,一份存本機(依你原來
的定義),一份存遠端,至於像 apache/named/... 這種 log 你只要定義好
他們的 log 要寫到 syslog 的那一個 facility (建議使用 User facility,
Local0-7 )
在遠端的 syslogd 主機,啟動參數要加 -r , 自己去改一下 rc.d 下的東西
syslogd 預設是走 udp 514,Firewall 要放行
至於設定檔什麼都不用改,只改啟動參數即可,但建議將 local0-7 都補上
因若你有 Sun 或其他的機器時,他們常會用到某幾個
(註: sun 中的 syslogd.conf 寫了 @log.server.domain , 還得再跑 snoop 將 udp port 514 打開,如此 syslog 才送的出來)
如果你真有很多機器,建議你 syslogd.conf 一定要細分,每天優先檢視最 critical
的,當然,像我這種情況,光一天我就有超過 1000000 行 syslog , 根本看不完
(LogWatch 對我來說用處不大,因為 syslog 的主機太多, OS 也不同,還有
Firewall , Cisco ...等都寫進來)
,建議你可以改用 syslog-ng
http://www.linuxsecurity.com/feature_stories/feature_story-138.html
基本上設定完全相容,但是你可以改 log 到 pgsql/mysql
看得熟了,還可以做到像這樣
將 syslog 轉成 mysql/pgsql ,
功能強大,網頁寫的不夠多,但download 下來的文件有寫,請先看文件!!
# PASS only logs NOT containing the string 'connection reset by peer' to next mo
dule
*.emerg ％regex -v -m 'connection reset by peer' ％classic root
# PASS only logs containing the string 'disk full' to next module
*.emerg ％regex -m 'disk full' ％classic root
# PASS ONLY logs with host matching 'www'
*.emerg ％regex -h 'www' ％classic /var/log/webserver
# PASS ONLY logs with host from 8pm to 9am (20:00:00 to 09:00:00)
# and also matching 'root'
auth.info ％regex -v -t '^1' ％regex -m 'root' ％classic /var/log/webserver
有興趣的人可自己去看看,尤其機器多時,滙整,分析,就會變的很重要...
上面那個 link 都還有 php 做介面 Event View 的介面(雖然很陽春 :em20: )...
另外,有人問看什麼書...我不知樓主看什麼書,我看的是 man page
把 See Also 相關的都看過,就很清楚了
syslog to remote 還有一個小小心得,建議你將 local0-7 中找一個
只有你自己會用的,但不會被別的程式佔走的,你若要什麼東西要做統計
就用 logger 這個指令寫進來這個 facility , 如此就可以很方便的在
log server 上跑一些監測軟體,因為你只要 parser 出你定義的格式就可以了
man syslogd and See Also Section
man logger
看完後,比我或樓主的解釋清楚太多了
我爱臭豆腐 回复于：2004-09-15 08:32:40非常好:) 值得学习
jeffreyli 回复于：2004-09-15 08:57:15非常好,,,,
值得学习....
peng 回复于：2004-09-15 10:06:08俺也凑点热闹，发个以前写过的帖子，涉及一些系统日值管理的一段。主要是syslog的。。
http://chinaunix.net/jh/14/71557.html
6.1 系统日志
unix系统能够跟踪系统中发生的事件并将每一个事件的所有消息记录到系统的日志文件中。日志对于安全来说，非常重要，他记录了系统每天发生的各种各样的事情，你可以通过他来检查错误发生的原因，或者受到攻击时攻击者留下的痕迹。日志主要的功能有：审计和监测。他还可以实时的监测系统状态，监测和追踪侵入者等等。作为一个管理员，你应该每天至少扫描一遍日志，来监视系统或安全问题。在Linux系统中，有三个主要的日志子系统.
6.1.1连接时间日志
连接时间日志--由多个程序执行，把纪录写入到/var/log/wtmp和/var/run/utmp，login等程序更新wtmp和utmp文件，使系统管理员能够跟踪谁在何时登录到系统。wtmp和utmp文件都是二进制文件，他们不能被诸如tail命令剪贴或合并（使用cat命令）。用户需要使用who、w、users、last和ac来使用这两个文件包含的信息。
who：who命令查询utmp文件并报告当前登录的每个用户。Who的缺省输出包括用户名、终端类型、登录日期及远程主机。例如：who（回车）显示（表1）
chyang pts/0 Aug 18 15:06 (192.168.1.3)
ynguo pts/2 Aug 18 15:32 (192.168.1.3)
ynguo pts/3 Aug 18 13:55 (192.168.1.3)
lewis pts/4 Aug 18 13:35 (192.168.1.3)
ynguo pts/7 Aug 18 14:12 (192.168.1.3)
ylou pts/8 Aug 18 14:15 (192.168.1.3)
如果指明了wtmp文件名，则who命令查询所有以前的纪录。命令who /var/log/wtmp将报告自从wtmp文件创建或删改以来的每一次登录。
w：w命令查询utmp文件并显示当前系统中每个用户和它所运行的进程信息。例如：w（回车）显示（表2）：3:36pm up 1
day, 22:34, 6 users, load average: 0.23, 0.29, 0.27
USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT
chyang pts/0 202.38.68.242 3:06pm 2:04 0.08s 0.04s -bash
ynguo pts/2 202.38.79.47 3:32pm 0.00s 0.14s 0.05 w
lewis pts/3 202.38.64.233 1:55pm 30:39 0.27s 0.22s -bash
lewis pts/4 202.38.64.233 1:35pm 6.00s 4.03s 0.01s sh /home/users/
ynguo pts/7 simba.nic.ustc.e 2:12pm 0.00s 0.47s 0.24s telnet mail
ylou pts/8 202.38.64.235 2:15pm 1:09m 0.10s 0.04s -bash
users：users用单独的一行打印出当前登录的用户，每个显示的用户名对应一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显示相同的次数。例如：users（回车）显示：chyang lewis lewis ylou ynguo ynguo
last：last命令往回搜索wtmp来显示自从文件第一次创建以来登录过的用户。例如（表3）：
chyang pts/9 202.38.68.242 Tue Aug 1 08:34 - 11:23 (02:49)
cfan pts/6 202.38.64.224 Tue Aug 1 08:33 - 08:48 (00:14)
chyang pts/4 202.38.68.242 Tue Aug 1 08:32 - 12:13 (03:40)
lewis pts/3 202.38.64.233 Tue Aug 1 08:06 - 11:09 (03:03)
lewis pts/2 202.38.64.233 Tue Aug 1 07:56 - 11:09 (03:12)
如果指明了用户，那么last只报告该用户的近期活动，例如：last ynguo（回车）显示（表4）：
ynguo pts/4 simba.nic.ustc.e Fri Aug 4 16:50 - 08:20 (15:30)
ynguo pts/4 simba.nic.ustc.e Thu Aug 3 23:55 - 04:40 (04:44)
ynguo pts/11 simba.nic.ustc.e Thu Aug 3 20:45 - 22:02 (01:16)
ynguo pts/0 simba.nic.ustc.e Thu Aug 3 03:17 - 05:42 (02:25)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 01:04 - 03:16 1+02:12)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 00:43 - 00:54 (00:11)
ynguo pts/9 simba.nic.ustc.e Thu Aug 1 20:30 - 21:26 (00:55)
ac：ac命令根据当前的/var/log/wtmp文件中的登录进入和退出来报告用户连结的时间（小时），如果不使用标志，则报告总的时间。例如：ac（回车）显示：total 5177.47
ac -d（回车）显示每天的总的连结时间 （表5）：
Aug 12 total 261.87
Aug 13 total 351.39
Aug 14 total 396.09
Aug 15 total 462.63
Aug 16 total 270.45
Aug 17 total 104.29
Today total 179.02
ac -p （回车）显示每个用户的总的连接时间 （表6）：
ynguo 193.23
yucao 3.35
rong 133.40
hdai 10.52
zjzhu 52.87
zqzhou 13.14
liangliu 24.34
total 5178.24
lastlog：lastlog文件在每次有用户登录时被查询。可以使用lastlog命令来检查某特定用户上次登录的时间，并格式化输出上次登录日志/var/log/lastlog的内容。它根据UID排序显示登录名、端口号（tty）和上次登录时间。如果一个用户从未登录过，lastlog显示"**Never logged**。注意需要以root运行该命令，例如（表7）：
rong 5 202.38.64.187 Fri Aug 18 15:57:01 +0800 2000
dbb **Never logged in**
xinchen **Never logged in**
pb9511 **Never logged in**
xchen 0 202.38.64.190 Sun Aug 13 10:01:22 +0800 2000
另外，可一加一些参数，例如，last -u 102将报告UID为102的用户；last -t 7表示限制上一周的报告。
6.1.2 进程统计日志
进程统计--由系统内核执行。当一个进程终止时，为每个进程往进程统计文件（pacct或acct）中写一个纪录。进程统计的目的是为系统中的基本服务提供命令使用统计。
UNIX可以跟踪每个用户运行的每条命令，如果想知道昨晚弄乱了哪些重要的文件，进程统计子系统可以告诉你。它对还跟踪一个侵入者有帮助。与连接时间日志不同，进程统计子系统缺省不激活，它必须启动。在Linux系统中启动进程统计使用accton命令，必须用root身份来运行。Accton命令的形式accton file，file必须先存在。先使用touch命令来创建pacct文件：
# touch /var/log/pacct
然后运行accton：
# accton /var/log/pact
一旦accton被激活，就可以使用lastcomm命令监测系统中任何时候执行的命令。若要关闭统计，可以使用不带任何参数的accton命令。
lastcomm命令报告以前执行的文件。不带参数时，lastcomm命令显示当前统计文件生命周期内纪录的所有命令的有关信息。包括命令名、用户、tty、命令花费的CPU时间和一个时间戳。如果系统有许多用户，输入则可能很长。下面的例子（表8）：
------------------------------------------------------------------------------
crond F root ?? 0.00 secs Sun Aug 20 00:16
promisc_check.s S root ?? 0.04 secs Sun Aug 20 00:16
promisc_check root ?? 0.01 secs Sun Aug 20 00:16
grep root ?? 0.02 secs Sun Aug 20 00:16
tail root ?? 0.01 secs Sun Aug 20 00:16
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.02 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.02 secs Sun Aug 20 00:15
sh root ?? 0.02 secs Sun Aug 20 00:15
ping S root ?? 0.00 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
------------------------------------------------------------------------------
进程统计的一个问题是pacct文件可能增长的十分迅速。这时需要交互式的或经过cron机制运行sa命令来保持日志数据在系统控制内。sa命令报告、清理并维护进程统计文件。它能把/var/log/pacct中的信息压缩到摘要文件/var/log/savacct和/var/log/usracct中。这些摘要包含按命令名和用户名分类的系统统计数据。sa缺省情况下先读它们，然后读pacct文件，使报告能包含所有的可用信息。sa的输出有下面一些标记项（表9）：
----------------------------------------------------------------------------
avio--每次执行的平均I/O操作次数
cp--用户和系统时间总和，以分钟计
cpu--和cp一样
k--内核使用的平均CPU时间，以1k为单位
k*sec--CPU存储完整性，以1k-core秒
re--实时时间，以分钟计
s--系统时间，以分钟计
tio--I/O操作的总数
u--用户时间，以分钟计
-------------------------------------------------------------------------------
例如（表10）：
-------------------------------------------------------------------------------
842 173.26re 4.30cp 0avio 358k
2 10.98re 4.06cp 0avio 299k find
9 24.80re 0.05cp 0avio 291k ***other
105 30.44re 0.03cp 0avio 302k ping
104 30.55re 0.03cp 0avio 394k sh
162 0.11re 0.03cp 0avio 413k security.sh*
154 0.03re 0.02cp 0avio 273k ls
56 31.61re 0.02cp 0avio 823k ping6.pl*
2 3.23re 0.02cp 0avio 822k ping6.pl
35 0.02re 0.01cp 0avio 257k md5sum
97 0.02re 0.01cp 0avio 263k initlog
12 0.19re 0.01cp 0avio 399k promisc_check.s
15 0.09re 0.00cp 0avio 288k grep
11 0.08re 0.00cp 0avio 332k awk
------------------------------------------------------------------------------
用户还可以根据用户而不是命令来提供一个摘要报告。例如sa -m显示如下（表11）：
885 173.28re 4.31cp 0avk
root 879 173.23re 4.31cp 0avk
alias 3 0.05re 0.00cp 0avk
qmailp 3 0.01re 0.00cp 0avk
6．1．3 错误日值
错误日志--由syslogd执行。各种系统守护进程、用户程序和内核通过syslog向文件/var/log/messages报告值得注意的事件。另外有许多UNIX程序创建日志。像HTTP和FTP这样提供网络服务的服务器也保持详细的日志。
Syslog已被许多日志函数采纳，它用在许多保护措施中--任何程序都可以通过syslog 纪录事件。Syslog可以纪录系统事件，可以写到一个文件或设备中，或给用户发送一个信息。它能纪录本地事件或通过网络纪录另一个主机上的事件。
Syslog设备依据两个重要的文件：/etc/syslogd（守护进程）和/etc/syslog.conf配置文件，习惯上，多数syslog信息被写到/var/adm或/var/log目录下的信息文件（messages.*）。一个典型的syslog纪录包括生成程序的名字和一个文本信息。它还包括一个设备和一个优先级范围（但不在日之中出现）。
每个syslog消息被赋予下面的主要设备之一（表12）：
--------------------------------------------------------------------------
LOG_AUTH--认证系统：login、su、getty等
LOG_AUTHPRIV--同LOG_AUTH，但只登录到所选择的单个用户可读的文件中
LOG_CRON--cron守护进程
LOG_DAEMON--其他系统守护进程，如routed
LOG_FTP--文件传输协议：ftpd、tftpd
LOG_KERN--内核产生的消息
LOG_LPR--系统打印机缓冲池：lpr、lpd
LOG_MAIL--电子邮件系统
LOG_NEWS--网络新闻系统
LOG_SYSLOG--由syslogd（8）产生的内部消息
LOG_USER--随机用户进程产生的消息
LOG_UUCP--UUCP子系统
LOG_LOCAL0~LOG_LOCAL7--为本地使用保留
-------------------------------------------------------------------------------
Syslog为每个事件赋予几个不同的优先级（表13）：
------------------------------------------------------------------------------
LOG_EMERG--紧急情况
LOG_ALERT--应该被立即改正的问题，如系统数据库破坏
LOG_CRIT--重要情况，如硬盘错误
LOG_ERR--错误
LOG_WARNING--警告信息
LOG_NOTICE--不是错误情况，但是可能需要处理
LOG_INFO--情报信息
LOG_DEBUG--包含情报的信息，通常旨在调试一个程序时使用
------------------------------------------------------------------------------
syslog.conf文件指明syslogd程序纪录日志的行为，该程序在启动时查询配置文件。该文件由不同程序或消息分类的单个条目组成，每个占一行。对每类消息提供一个选择域和一个动作域。这些域由tab隔开：选择域指明消息的类型和优先级；动作域指明syslogd接收到一个与选择标准相匹配的消息时所执行的动作。每个选项是由设备和优先级组成。当指明一个优先级时，syslogd将纪录一个拥有相同或更高优先级的消息。所以如果指明"crit"，那所有标为crit、alert和emerg的消息将被纪录。每行的行动域指明当选择域选择了一个给定消息后应该把他发送到哪儿。
例如，如果想把所有邮件消息纪录到一个文件中，如下（表14）：
------------------------------------------------------------------------------
#Log all the mail messages in one place
mail.* /var/log/maillog
其他设备也有自己的日志。UUCP和news设备能产生许多外部消息。它把这些消息存到自己的日志（/var/log/spooler）中并把级别限为"err"或更高。例如：
# Save mail and news errors of level err and higher in aspecial file.
uucp,news.crit /var/log/spooler
当一个紧急消息到来时，可能想让所有的用户都得到。也可能想让自己的日志接收并保存。
#Everybody gets emergency messages， plus log them on anther machine
*.emerg *
*.emerg @linuxaid.com.cn
alert消息应该写到root和tiger的个人账号中：
#Root and Tiger get alert and higher messages
*.alert root,tiger
有时syslogd将产生大量的消息。例如内核（"kern"设备）可能很冗长。用户可能想把内核消息纪录到/dev/console中。下面的例子表明内核日志纪录被注释掉了：
#Log all kernel messages to the console
#Logging much else clutters up the screen
#kern.* /dev/console
用户可以在一行中指明所有的设备。下面的例子把info或更高级别的消息送到/var/log/messages，除了mail以外。级别"none"禁止一个设备：
#Log anything（except mail）of level info or higher
#Don/'t log private authentication messages!
*.info:mail.none;authpriv.none /var/log/messages
-----------------------------------------------------------------------------
在有些情况下，可以把日志送到打印机，这样网络入侵者怎么修改日志都没有用了。通常要广泛纪录日志。Syslog设备是一个攻击者的显著目标。一个为其他主机维护日志的系统对于防范服务器攻击特别脆弱，因此要特别注意。
有个小命令logger为syslog（3）系统日志文件提供一个shell命令接口，使用户能创建日志文件中的条目。用法：logger 例如：logger This is a test！
它将产生一个如下的syslog纪录：Aug 19 22:22:34 tiger: This is a test!
注意不要完全相信日志，因为攻击者很容易修改它的。
6.1.4 程序日志
许多程序通过维护日志来反映系统的安全状态。su命令允许用户获得另一个用户的权限，所以它的安全很重要，它的文件为sulog。同样的还有sudolog。另外，象Apache有两个日志：access_log和error_log。
这里用了大量的篇章来说了系统日志，是必要的。如果不能保证主机的安全，也谈不上服务了。下面，我们将详细讲一下mail日志。
6.2.1 qmail的替代日志程序
长久以来，针对标准的syslogd程序的效率，已经有很多争议了。一个消息发送给syslogd，病不能保证消息被真正的写道日志中，另外，他的写的速度并不快。
下面是slogger遵循的几个条件：
1、 每一条消息都有时间戳，时间戳被附加到消息中。
2、 每一条消息都要对关键字aler：或者warning:进行检查。如果其中有一个出现了，就为消息选定一个适当的优先级水平。
3、 消息中的不可打印的字符被转换成问号（？）。
4、 不记录空白行。
5、 超过800个字符的消息被分割成800个字符的多行消息。分割的行在时间戳后用一个加号标识。
针对以上，qmail的创始人dan bernstein开发了splogger程序，它包含在qmail软件包中。
用它来替代系统的syslog.是用splogger程序作为日志程序，将qmail记录重新定向给splogger程序，在将记录转发给linux的syslog程序。Mail日志的位置取决于/etc/syslog.conf文件设定的值，在上面我们详细将过了怎样设置。
abel 回复于：2004-09-15 15:26:26peng 兄的文件寫的真好
accton/ac 這些東西我記得 RH 好像預設不會裝進來..
若沒有人的可以去 gnu 上找找
或
http://ftp.debian.org/debian/pool/main/a/acct/acct_6.3.5.orig.tar.gz
双眼皮的猪 回复于：2005-05-10 21:57:16为什么logrotate不是一个守护进程？
[code:1:9cb0aa09d6][ktktkt@Jintao test2]{Content}nbsp;ps aux | grep logrotate
ktktkt 25007 0.0 0.4 3660 576 pts/0 S 21:54 0:00 grep logrotate
[ktktkt@Jintao test2]{Content}nbsp;ps aux | grep syslog
root 950 0.0 0.3 1572 440 ? S 10:30 0:00 syslogd -m 0
root 16562 0.0 0.6 1868 768 ? S 18:54 0:00 ./syslog-ng -f ./syslog-ng.conf
ktktkt 25011 0.0 0.4 3656 576 pts/0 S 21:54 0:00 grep syslog
[/code:1:9cb0aa09d6]
我还跑着syslog-ng
但为什么logrotate不是以一个守护进程的形式出现呢？那是怎么运行的？
那么如果系统不自带logrotate,怎么办？
我交叉编译了一个arm平台的logrotate,结果运行没有pid,ps也找不到...
pidof也找不到...
那么logrotate究竟是如何运行的呢？
platinum 回复于：2005-05-10 22:00:09[quote:8effd02881="双眼皮的猪"]
我还跑着syslog-ng
但为什么logrotate不是以一个守护进程的形式出现呢？那是怎么运行的？
那么如果系统不自带logrotate,怎么办？
我交叉编译了一个arm平台的logrotate,结果运行没有pid,ps也找不到...
pidof也?.........[/quote:8effd02881]
是用crond运行的，在cron.daily里面
双眼皮的猪 回复于：2005-05-10 22:00:57完了~我的嵌入式里没有crond...5555555
但是我手工执行也应该有pid啊....
风流涕淌 回复于：2005-07-12 01:11:38以经很久的老贴子，但还是那么有魅力
先说声谢谢了，
最近在看syslog-ng
对日志想好好学学
tyc00n 回复于：2005-07-12 01:59:52温故而知新。。。
学习ing。。。。。。。
cnsafety 回复于：2005-07-12 12:34:06我学习linux时候到这里的时候也,闷住了。如果2个都添加自己的服务,比如apache log指向一个文件,而在syslog文件上也来添加这个服务,会怎么样呢?我一直没试过.还有
得到空。
另外，就这个问题我曾经请教一个朋友。他说syslogd不会记录你没有要求它记录的信息，虽然有上面的*.info但是这个*是不包括你自己的服务的。我问，那么iptables也没有在我的syslog.conf中要求，那为什么它会记录到/var/log/messages呢？或者是iptables自己定义了吧
这里我没有搞清楚意思.
