日志记录不完整：日志记录不完整，难以诊断问题

1. 检查当前日志记录配置

首先，我们需要检查当前的日志记录配置，了解其设置和内容。

命令：

sudo cat /etc/rsyslog.conf 

查看特定服务的日志配置：

sudo cat /etc/rsyslog.d/50-default.conf  

2. 常见的日志记录不完整问题及解决方案

2.1 日志级别设置不当

• 问题：日志级别设置不当，导致重要信息未被记录。
• 解决方案：调整日志级别，确保记录足够的信息。

示例：编辑 rsyslog 配置文件：

sudo nano /etc/rsyslog.conf 

示例：调整日志级别：

# 记录所有级别的日志
*.info;mail.none;authpriv.none;cron.none                 /var/log/syslog
 
# 记录 auth 日志
authpriv.*                                             /var/log/auth.log 
 
# 记录 debug 级别的日志 
*.debug                                                /var/log/debug.log  

示例：重启 rsyslog 服务：

sudo systemctl restart rsyslog

2.2 日志文件大小限制

• 问题：日志文件大小限制过小，导致日志记录不完整。
• 解决方案：调整日志文件大小限制。

示例：编辑 rsyslog 配置文件：

sudo nano /etc/rsyslog.conf 

示例：调整日志文件大小限制：

$SystemLogRateLimitInterval 0
$SystemLogRateLimitBurst 0

示例：重启 rsyslog 服务：

sudo systemctl restart rsyslog

2.3 日志轮转配置不当

• 问题：日志轮转配置不当，导致日志文件丢失或记录不完整。
• 解决方案：调整日志轮转配置，确保日志文件保留足够的时间。

示例：编辑 logrotate 配置文件：

sudo nano /etc/logrotate.conf 

示例：调整日志轮转配置：

# /etc/logrotate.conf  
weekly
rotate 52
compress
delaycompress
missingok
notifempty
create 640 root adm
include /etc/logrotate.d

示例：编辑特定日志文件的轮转配置：

sudo nano /etc/logrotate.d/syslog

示例：调整特定日志文件的轮转配置：

# /etc/logrotate.d/syslog
/var/log/syslog {
    weekly
    rotate 52
    compress
    delaycompress 
    missingok
    notifempty
    create 640 root adm 
}

2.4 日志文件路径设置不当

• 问题：日志文件路径设置不当，导致日志记录不完整。
• 解决方案：确保日志文件路径正确，并有足够的权限。

示例：编辑 rsyslog 配置文件：

sudo nano /etc/rsyslog.conf  

示例：确保日志文件路径正确：

*.info;mail.none;authpriv.none;cron.none                 /var/log/syslog
authpriv.*                                             /var/log/auth.log 

示例：确保日志文件路径有足够权限：

sudo chown root:adm /var/log/syslog 
sudo chmod 640 /var/log/syslog 

2.5 日志记录格式设置不当

• 问题：日志记录格式设置不当，导致难以解析和分析。
• 解决方案：调整日志记录格式，确保格式统一且易于解析。

示例：编辑 rsyslog 配置文件：

sudo nano /etc/rsyslog.conf 

示例：调整日志记录格式：

$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

示例：定义自定义模板：

$template CustomTemplate,"%TIMESTAMP% %HOSTNAME% %APP-NAME% %PROCID% %MSG%\n"
*.* -/var/log/custom.log;CustomTemplate 

示例：重启 rsyslog 服务：

sudo systemctl restart rsyslog

2.6 日志记录时间戳设置不当

• 问题：日志记录时间戳设置不当，导致难以追踪事件时间。
• 解决方案：调整日志记录时间戳格式，确保时间戳准确且易于读取。

示例：编辑 rsyslog 配置文件：

sudo nano /etc/rsyslog.conf 

示例：调整日志记录时间戳格式：

$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

示例：定义自定义时间戳格式：

$template CustomTimestamp,"%TIMESTAMP:::date-rfc3339% %HOSTNAME% %APP-NAME% %PROCID% %MSG%\n"
*.* -/var/log/custom.log;CustomTimestamp  

示例：重启 rsyslog 服务：

sudo systemctl restart rsyslog

3. 使用自动化工具进行日志记录

工具：Logstash

• 介绍：Logstash 是一个用于收集、解析和传输日志数据的工具。
• 步骤：

  1. 安装 Logstash：

     sudo apt-get update
     sudo apt-get install logstash
     

  2. 编写 Logstash 配置文件：

     # /etc/logstash/conf.d/01-syslog.conf  
     input {
       file {
         path => "/var/log/syslog"
         start_position => "beginning"
       }
     }
     
     filter {
       grok {
         match => { "message" => "%{SYSLOGTIMESTAMP:syslog_timestamp} %{SYSLOGHOST:syslog_hostname} %{DATA:syslog_program}(?:\[%{POSINT:syslog_pid}\])?: %{GREEDYDATA:syslog_message}" }
       }
       date {
         match => [ "syslog_timestamp", "MMM  d HH:mm:ss", "MMM dd HH:mm:ss" ]
       }
     }
     
     output {
       elasticsearch { hosts => ["localhost:9200"] }
       stdout { codec => rubydebug }
     }
     

  3. 启动 Logstash：

     sudo systemctl start logstash
     

  4. 查看解析后的日志：

     curl -X GET "localhost:9200/_search?pretty" -H 'Content-Type: application/json' -d'
     {
       "query": {
         "match_all": {}
       }
     }
     '
     

4. 定期检查和优化日志记录

定期检查和优化日志记录是非常重要的，以确保系统始终处于最佳的工作状态。

4.1 定期检查

• 建议：每周或每月检查一次日志记录配置，确保没有过时或不合理的配置。

4.2 优化记录

建议：根据系统的变化和新的日志需求，及时优化日志记录配置。