CentOS 7 日志系统教学指南

这份指南专为 CentOS 7 课程设计，以最直观的方式梳理日志系统的架构与操作流程。

🗺️ 课程思维导图：CentOS 7 日志架构

• 日志来源（谁生成的日志？）
  • Kernel（内核）： 核心操作系统、硬件、驱动、内存。
  • 用户空间应用： 独立运行的程序和服务（如 SSH、Apache、Cron）。
• 日志管理器（谁负责分发日志？）
  • rsyslogd 守护进程： 核心日志服务，负责根据规则读取、过滤和保存日志消息。
• 过滤规则（怎么分类？）
  • Facility（设备/来源）： 谁发送的？（例如：auth, cron, mail, kern）。
  • Severity/Priority（级别/紧急度）： 有多紧急？（例如：info, warning, error, emerg）。
• 日志目的地（日志存放在哪里？）
  • /var/log/messages： 通用系统日志，记录绝大部分系统事件。
  • /var/log/secure： 安全与登录认证日志。
  • /var/log/cron： 定时任务日志。
  • /var/log/dmesg / dmesg 命令： 内核启动与硬件日志。

📝 简化版教案

1. 什么是 rsyslog？

把 rsyslog 比作一个邮件分拣中心。

• 它在后台作为服务持续运行（可使用 systemctl status rsyslog 查看）。
• 它负责接收系统产生的所有日志消息，读取配置文件 /etc/rsyslog.conf，并决定将每条消息写入硬盘上的哪一个具体文件中。

2. 什么是内核日志（Kernel Log）？

把内核日志比作计算机硬件的黑匣子。

• 在系统刚开机时，由于硬盘还没有准备好，内核无法直接使用 rsyslog 写入文件。因此，内核会把日志先写到一个临时的内存缓冲区（称为 Ring Buffer）。
• 学生可以使用 dmesg 命令来直接查看这个缓冲区中的内容。
• 当系统完全启动后，rsyslog 会抓取这些信息并同步备份到 /var/log/dmesg 和 /var/log/messages 中。

3. rsyslog 过滤日志的核心公式

向学生讲解 /etc/rsyslog.conf 中使用的标准语法：

设备.级别 /日志文件路径

• Facility（设备/部门）： 发送日志的源头（例如：authpriv 代表安全认证，cron 代表定时任务，kern 代表内核）。
• Priority（级别/紧急度）： 严重程度，从最低的 debug（调试）到最高的 emerg（紧急崩溃）。
• 示例： cron.* /var/log/cron 意思是：“把所有来自定时任务部门（cron）、无论什么紧急程度（*）的日志，全都存到 /var/log/cron 文件里。”

💡 课堂实操演示步骤