108.2 Lektion 1

Da Logs variable Daten sind, befinden sie sich normalerweise in /var/log. Grob lassen sich System-Logs und Dienst- oder Programm-Logs unterscheiden.

Hier einige System-Logs und die darin enthaltenen Informationen:

Hier einige Beispiele für Service-Logs:

Um Logdateien zu lesen, stellen Sie zunächst sicher, dass root sind oder Leserechte für die Datei haben. Sie können eine Reihe von Dienstprogrammen verwenden, wie z.B.:

Wie Sie vielleicht bemerkt haben, erscheint die Ausgabe in folgendem Format:

Es gibt einige Beispiele, in denen Logs nicht als Text, sondern als Binärdateien vorliegen — folglich sind hier für die Analyse spezielle Befehle notwendig:

Der folgende Vorgang veranschaulicht, wie eine Meldung in eine Logdatei geschrieben wird:

Die Konfigurationsdatei von rsyslog heißt /etc/rsylog.conf (in manchen Distributionen finden Sie die Konfigurationsdateien auch in /etc/rsyslog.d/). Sie ist normalerweise in drei Abschnitte unterteilt: MODULES, GLOBAL DIRECTIVES und RULES. Werfen wir einen Blick auf die Datei rsyslog.conf auf einem Rechner mit einem Debian GNU/Linux 10 (Buster) — wir nutzen dazu sudo less /etc/rsyslog.conf.

MODULES enthält Modulunterstützung für Logging, Nachrichtenfähigkeit und UDP/TCP-Log-Empfang:

Mit GLOBAL DIRECTIVES konfigurieren wir z.B. Logs und Log-Verzeichnisberechtigungen:

In RULES kommen Facilities (Einrichtungen), pPriorities (Prioritäten) und Actions (Aktionen) ins Spiel. Die Einstellungen in diesem Abschnitt weisen den Logging-Daemon an, Nachrichten nach bestimmten Regeln zu filtern und zu protokollieren oder zu senden, wo es erforderlich ist. Um diese Regeln zu verstehen, klären wir zunächst die Konzepte von Einrichtungen und Prioritäten von rsyslog. Jede Lognachricht erhält eine Facility-Nummer und ein Schlüsselwort, die mit dem Linux-internen Subsystem verbunden sind, das die Nachricht erzeugt:

Außerdem wird jeder Nachricht eine Prioritätsstufe zugewiesen:

Hier ein Auszug der rsyslog.conf vom System mit Debian GNU/Linux 10 (buster) mit einigen Beispielregeln:

Das Regelformat lautet: <facility>.<priority> <action>

Der Selektor <facility>.<priority> filtert die übereinstimmenden Meldungen. Die Prioritätsebenen sind hierarchisch inklusiv, was bedeutet, dass rsyslog Nachrichten mit der angegebenen Priorität und höher abgleichen wird. Der Selektor <action> zeigt an, welche Aktion ausgeführt, d.h. wohin die Log-Meldung gesendet werden soll. Hier einige Beispiele:

Unabhängig von ihrer Priorität (*) werden alle Meldungen von den Facilities auth oder authpriv nach /var/log/auth.log gesendet.

Alle Nachrichten werden unabhängig von ihrer Priorität (*) von allen Einrichtungen (*) unter Ausschluss derjenigen von auth oder authpriv (Suffix .none) nach /var/log/syslog geschrieben. Das Minuszeichen (-) vor dem Pfad verhindert übermäßige Schreibvorgänge auf der Festplatte. Beachten Sie das Semikolon (;), um den Selektor aufzuteilen, und das Komma (,), um zwei Einrichtungen in derselben Regel (auth,authpriv) zu verketten.

Nachrichten von der Facility mail mit einer Prioritätsstufe von error oder höher (critical, alert oder emergency) werden an /var/log/mail.err gesendet.

Nachrichten von allen Einrichtungen mit der Priorität debug und keiner anderen (=) werden nach /var/log/debug geschrieben — mit Ausnahme aller Nachrichten, die von den Einrichtungen auth, authpriv, news und mail kommen (beachten Sie die Syntax: ;\).

Zur Erläuterung dieses Themas werden wir einen neuen Host zu unserem Setup hinzufügen. Der Aufbau lautet wie folgt:

Beginnen wir mit der Konfiguration des Servers und stellen zunächst sicher, dass rsyslog läuft und funktioniert:

openSUSE wird mit einer eigenen Konfigurationsdatei für Remote-Logging ausgeliefert: /etc/rsyslog.d/remote.conf. Wir aktivieren den Empfang von Nachrichten von Clients (entfernten Hosts) über TCP und kommentieren dazu die Zeilen aus, die das Modul laden und den TCP-Server auf Port 514 starten:

Danach müssen wir den rsyslog-Dienst neu starten und überprüfen, ob der Server auf Port 514 lauscht:

Anschließend sollten wir die Ports in der Firewall öffnen und die Konfiguration neu laden:

Logs rotieren regelmäßig, was zwei Hauptzwecken dient:

Das Dienstprogramm für die Log-Rotation heißt logrotate, und seine Aufgabe umfasst Aktionen wie das Verschieben von Logdateien unter einem neuen Namen, das Archivieren und/oder Komprimieren, manchmal das Versenden von E-Mails an den Systemadministrator und schließlich das Löschen der Dateien ab einem gewissen Alter. Es gibt verschiedene Konventionen für die Benennung dieser rotierten Logdateien (z.B. Hinzufügen eines Suffixes mit dem Datum zum Dateinamen). Gängige Praxis ist jedoch das einfache Hinzufügen eines Suffixes mit einer Ganzzahl:

Schauen wir uns an, was bei der nächsten Log-Rotation passiert:

Beachten Sie, dass — gemäß den logrotate-Direktiven, die wir noch kennenlernen werden — die drei älteren Logdateien komprimiert sind, die beiden jüngsten jedoch nicht. Außerdem werden wir die Protokolle der letzten 4-5 Wochen aufbewahren. Um Nachrichten zu lesen, die 1 Woche alt sind, werden wir messages.1 konsultieren (und so weiter).

logrotate wird als automatisierter Prozess oder Cron-Job täglich durch das Skript /etc/cron.daily/logrotate ausgeführt und liest die Konfigurationsdatei /etc/logrotate.conf. Diese Datei enthält einige globale Optionen und ist gut kommentiert, denn zu Beginn jeder Option steht eine kurze Erläuterung:

Wie Sie sehen, sind auch die Konfigurationsdateien in /etc/logrotate.d für bestimmte Pakete enthalten. Diese Dateien enthalten größtenteils lokale Definitionen und geben an, welche Logs rotiert werden sollen — denken Sie daran, dass lokale Definitionen Vorrang vor globalen haben und dass spätere Definitionen frühere überschreiben. Im Folgenden sehen Sie einen Auszug aus einer Definition in /etc/logrotate.d/rsyslog:

Jede Direktive ist von ihrem Wert durch Leerzeichen und/oder ein optionales Gleichheitszeichen (=) getrennt. Die Angaben zwischen postrotate und endscript müssen in jeweils einer eigenen Zeile stehen. Die Erklärung lautet wie folgt:

Da der Kernel mehrere Meldungen generiert, bevor rsyslogd beim Booten zur Verfügung steht, bedarf es eines Mechanismus zur Registrierung dieser Meldungen. Hier kommt der Kernel Ring Buffer (Kernel-Ringpuffer) ins Spiel, eine Datenstruktur fester Größe — daher verschwinden die ältesten Nachrichten, wenn der Log wächst.

Der Befehl dmesg gibt den Kernel-Ringpuffer aus. Aufgrund der Größe des Puffers werden Sie ihn normalerweise in Kombination mit dem Textfilterprogramm grep nutzen, etwa um nach Meldungen zu suchen, die sich auf USB-Geräte beziehen: