一、inode和block
文件数据包括元信息与实际数据，文件存储在硬盘上，硬盘最小存储单位是扇区，每个扇区存储512字节
1.block(块)：文件系统中用于存储文件实际数据的最小单位，由文件系统进行分配和管理，并通过inode号中的指针关联到对应的文件，连续的八个扇区组成一个block，是文件存取的最小单位
2.inode(索引节点)：用于标识和管理文件的唯一索引节点的标识符，用于存储文件的元信息
1.inode
Inode（索引节点）用于表示文件或目录的数据结构，每个inode有唯一的编号标识，文件系统使用这些编号来查找和访问文件，文件名和inode之间建立了映射关系，通过文件系统的目录结构可以将文件名与相应的inode关联起来，从而可以通过文件名来访问文件，当文件被删除时，只删除了与文件名相关联的inode，而文件的实际数据并没有立即被清除，只有当文件没有任何指向它的inode时，系统才会释放文件的存储空间。
2.inode表
元信息是每个文件的属性信息，比如：文件的大小、时间、类型、权限等，称为文件的元数据（meta data 元信息）。元数据是存放在inode（index node）表中，inode表由很多条记录组成，第一条记录对应的存放了一个文件的元数据信息。
inode表结构：
1.inode number文件的字节数
2.文件类型
3.文件的读、写、执行权限
4.文件拥有者的UID
5.文件的GID
6.链接数（指向这个文件名路径的名称个数）
7.该文件的大小和不同的时间戳
8.指向磁盘上文件的数据块指针
9.有关文件的其他数据
3.inode号
每个inode都有一个号，文件名和inode号是一一对应关系，操作系统用inode号码来识别不同的文件，inode号是是有限资源，如果消耗完毕，无法继续新建文件，解决方法就是删除空文件或无用文件。inode号是唯一的，在同一设备中是唯一的，在不同设备中inode号是可以相同的
用stst命令可以查看某个文件的inode信息（详细信息）
命令格式：inode 文件名
查看文件系统的inode号
命令格式：df -i
查看某文件的inode号
命令格式：ls -i 文件名
3.Linux系统文件三个主要文件的时间属性（三个时间戳）
atime：访问文件时间，需要打开文件时间才会发生变化
mtime：最近更改时间，文件内容发生改变，时间才会变化
ctime：最近改动时间，文件的元信息发生改变，时间才会改动，时间权限包括属主属组大小
注：只有用vim打开此文件才会更新此文件的最近访问时间
注：在使用find找文件时间时建议使用mtime
4.目录文件结构
inode号不包含文件名，文件名是存放在目录当中的，Linux系统中一切皆文件，因此目录也是一种文件，目录文件的结构就是目录项的列表，每个目录项由两部分组成：所包含文件的文件名，以及该文件名对应的inode号码
查看目录下所有文件的inode号
命令格式：ls -i 目录（绝对路径）
二、日志*
内核及系统日志由系统服务rsyslog统一管理，根据其主配置文件/etc/rsyslog.conf，linux操作系统本身和大部分服务器程序的日志文件都默认放在目录/var/log下。
1.日志的功能
1.用于记录系统、程序运行中发生的各种事件
2.通过阅读日志，有助于诊断和解决系统故障
2.日志分类
1.内核系统日志：
由系统服务rsyslog统一进行管理，日志格式基本相似，记录了操作系统做了什么事，发生了什么故障
2.用户日志：
记录系统用户登录及退出系统的相关信息
3.程序日志：
由各种应用程序独立管理的日志文件，记录格式不统一，记录了某一程序做了什么事，发生了什么故障
3.日志默认保存的位置
默认位于：/var/log目录下，如果想改变日志位置，需要用到rsyslog软件
1.日常的日志记录（内核和公共日志）
核心系统日志文件，其中包含了系统启动时的引导信息，以及系统运行时的其他状态信息，I/O错误、网络错误和其他系统错误都会记录到此文件中。其他信息，比如某个人的身份切换为 root，已及用户自定义安装软件的日志，也会在这里列出
| 日志 | 命令 | 作用 |
| btmp | lastb | 查看登录失败的用户 |
| lastlog | lastlog | 查看用户最后一次登录的情况 |
| wtmp | last | 用户成功登录的日志 |
文件位置：/var/log/message
文件格式：文本文件
作用：系统中大部分的信息
2.系统安全的日志
文件位置：/var/log/secure
文件格式：文本文件
作用：系统安全日志，比如登陆失败等信息会记录下来
3.登录失败的日志
文件位置：/var/log/btmp
文件格式：二进制无法直接查看
作用：登录失败日志
lastb：查看登陆失败的用户
4.记录用户最后一次登录日志
文件位置：/var/log/lastlog
文件格式：非文本
lastlog：查看用户最后一次登录的情况
5.目前用户成功登录日志
文件位置：/var/log/wtmp
文件格式：非文本
last：查看用户成功登录的日志（wtmp）
last |tail：查询成功登录到系统的用户记录，只显示最后十行
6.记录硬件信息日志
文件位置：/var/log/dmesg
文件格式：文本
作用：记录硬件信息日志
7.记录系统启动服务
文件位置：/var/log/boot.log
文件格式：文本
作用：系统服务启动的相关信息
用vim打开查看相关信息
8.记录安装系统的相关信息
文件位置：/var/log/anaconda:anaconda
文件格式：文本
作用：安装系统时的相关信息
9.计划任务的日志
文件位置：/var/log/cron
作用：记录与系统定时任务相关的日志
10.查询当前登录用户
users：仅显示登录的用户名
w：显示当前系统上登录的用户以及活动情况
USER：登录的用户名
TTY：用户当前所使用的终端
FROM：登录用户的IP地址或主机名
LOGIN@：登陆时间
IDIE：用户在终端处于空闲状态的时间
JCPU：用户所有进程的累计CPU时间
PCPU：当前正在运行的进程的CPU时间
WHAT：用户正在做的事情（命令或程序的简短描述）
who：当前登陆用户的信息（包括用户名、登录终端和登陆时间等）
4.系统日志管理rsyslog
1.日志优先级/级别：描述了事件的严重程度
根据日志消息的重要程度不同，将其分为不同的优先级别（数字等级越小，优先级越高，消息越重要）
| 级号 | 消息 | 级别 | 说明 |
| 0 | EMERG | 紧急 | 会导致主机不可用的情况 |
| 1 | ALERT | 警告 | 必须马上采取措施解决的问题 |
| 2 | CRIT | 严重 | 比较严重的情况 |
| 3 | ERR | 错误 | 运行出现错误 |
| 4 | WARNING | 提醒 | 可能会影响系统功能的事件 |
| 5 | NOTICE | 注意 | 不会影响系统但值得注意 |
| 6 | INFO | 信息 | 一般信息 |
| 7 | DEBUG | 调试 | 程序或系统调试信息等 |
2.rsyslog特性
1.多线程
2.UDP,TCP,SSL,TLS,RELP
3.MySQL,PGSQL,Oracle实现日志存储
4.强大的过滤器，可实现过滤记录日志信息中任意部分
5.自定义输出格式，可以日志
6.适用于企业级
3.rsyslog配置文件
配置文件/etc/rsyslog.conf由3个模块组成
1.MODULES相关配置模块
只有安装了功能模块，才会有相关的模块配置
2.GLOBAL DIRECTIVES全局配置模块
全局配置没有局部配置的优先级高，只有在没有局部配置时，才会使用全局配置
3.RULES局部配置
3.sysklogd系统日志服务
CentOS5之前版本采用的日志管理系统服务
1.syslogd（system application）：记录应用日志
2.klogd（Linux kernel）：记录内核日志
5.ELK日志
ELK（Elasticsearch,Logstash,Kibana）由三个软件组成
1.Elasticsearch：开源分布式搜索引擎，可以处理大规模日志数据，比如：Nginx、Tomcat、系统日志等功能
2.Logstash：对日志进行收集、分析、过滤，并将其存储供以后使用
3.kibana：可以提供的日志分析友好的Web界面
4.kafka：消息队列
6.logrorate分割日志文件
日志是需要进行分割的
1.写脚本，制定crontab计划任务每天执行
2.logrorate centos7
三、实操实验
1.实验的两个目的
1.有些软件程序是没有单独的日志服务，我们可以利用rsyslog软件给一些重要的程序生成独立的日志文件，把ssh远程登录程序的日志独立出来，ssh软件默认的日志在/var/log/secure，是很多程序一起使用的，并不是独立的。
2.搭建日志服务器
配置文件中的rules
通式：服务程序.记录的日志级别（sshd.error）日志文件的位置应该使用绝对路径
2.rsyslog实例1（设置ssh的单独日志）
目的：单独显示某一服务器的日志，以ssh服务为例
1.编辑rsyslog配置文件
vim /etc/rsyslog.conf
2.添加的内容
local6：日志源 *：表示任意级别 /var/log/nssh.log：新的日志路径
3.编辑ssh服务的配置文件/etc/ssh/sshd_config，改变日志路径
vim /etc/ssh/sshd_config
4.在32行添加自定义切换日志源为local6
SyslogFacility LOCAL6
5.重启服务
systemctl restart rsyslog.service sshd
6.远程连接其他主机
这里看到生成了一个登录信息的日志，显示最后一次登录的基础信息
7.查看ssh服务的日志是否独立列出
cat /var/log/nssh.log
2.rsyslog实例2（创建一个专门的日志服务器）
目的：将远程主机的日志备份到本机，现有esdeath、eva和es三台主机，现将es作为日志服务器用于记录esdeath和eva的日志存储
1.关闭防火墙
2.打开es的rsyslog的配置文件并加载es的rsyslog的ICMP和TCP模块
3.这里可以看到在提供TCP syslog接收功能中的两个模块开头有#号，说明是注释状态，并没有被开启，我们把#号去掉以开启此模块
$ModLoad imtcp：加载rsyslog的imtcp模块，imtcp模块用于接收通过TCP协议发送的日志消息
$InputTCPServerRun 514：用于启动rsyslog的TCP服务器模式，监听TCP端口514以接收日志消息
4.去掉注释状态，wq保存
5.重启使模块生效
systemctl restart rsyslog.service
6.查看514端口是否被开启
ss -ntap |grep 514
7.修改主机esdeath和eva的rsyslog配置文件，两个主机配置一样，这里只拿一个主机做演示
打开/etc/rsyslog.conf编辑配置
8.将TCP下的两个模块退出注释状态并wq保存退出
9.添加日志服务器的IP地址
*.info;mail.none;authpriv.none;cron.none @@192.168.7.132（这里的IP地址选择日志服务器的IP地址）
10.重启使之生效
systemctl restart rsyslog.service
11.关闭防火墙
systemctl stop filewalld.service
12.观察主机es能否收到主机esdeath和eva的消息，主机esdeath和主机eva使用logger命令模拟日志
13.用tail -f -n2 /var/log/messages：实时追踪消息日志的最后两行，收到了主机esdeath和主机eva的测试日志
四、日志管理工具journalctl
1.journalctl日志的配置文件
/etc/systemd/journald.conf
2.journalctl命令格式与选项
命令格式：journalctl 选项
| 选项 | 功能 |
| journalctl | 查看所有日志（默认情况下，只保存本次启动的日志） |
| journalctl -x | 提示信息 |
| journalctl -e | 显示到末尾 |
| journalctl --no-pager | 分页，显示全自动换行 |
| journalctl -k | 查看内核日志（不显示应用日志） |
| journalctl -b -0 | 查看系统本次启动的日志 |
| journacltl -b -1 | 查看上一次启动的日志（需更改设置） |
| journacltl -n | 显示尾部的最新10行日志 |
| journacltl -n 数字 | 显示尾部指定行数的日志 |
| journalctl -f | 实时滚动显示最新日志 |
| journalctl 绝对路径 | 查看指定服务的日志 |
| journalctl _PID=1 | 查看某个路径的脚本的日志 |
| journalctl --disk-usage | 显示日志占据的硬盘空间 |
| journalctl --vacuum-size=1G | 指定日志文件占据的最大空间 |
| journalctl --vacuum-time=1years | 指定日志文件保存多久 |
