文件系统

• 文件是存储在硬盘上的，硬盘的最小存储单位叫做"扇区”(sector)每个扇区存储512字节。
• 一般连续八个扇区组成一个"块"(block)，一个块是4K大小，是文件存取的最小单位。操作系统读取硬盘的时候，是一次性连续读取多个扇区，即一个块一个块的读取的
• 文件数据包括实际数据与元信息(类似文件属性)文件数据存储在"块"中，存储文件元信息(比如文件的创建者、创建日期、文件大小、文件权限等) 的区域就叫做inode。因此，一个文件必须占用一个 inode，并且至少占用一个 block
• inode不包含文件名。文件名是存放在目录当中的。linux 系统中一切皆文件，因此目录也是一种文件。
• 每个inode都有一个号码，操作系统用inode号码来识别不同的文件。Linux系统内部不使用文件名，而使用inode号码来识别文件。对于系统来说，文件名只是inode号码便于识别的别称，文件名和inode号码是一 一对应关系，每个inode号码对应一个文件名。
• 所以，当用户在Linux系统中试图访问一个文件时，系统会先根据文件名去查找它对应的inode号码:通过inode号码，获取inode信息，根据indoe信息，看该用户是否具有访问这个文件的权限:如果有，就指向相对应的数据block，并读取数据。

inode和block概述

文件数据包括元信息与实际数据
文件存储在硬盘上，硬盘最小存储单位是“扇区”，每个扇区存储512字节
block (块)
连续的八个扇区组成一个 block(4K)
【这个大小可以修改，在磁盘格式化的时候修改。mkfs -b size=1024指定 (1024为字节数，最小512，最大为65536即64k)修改完后挂载才显示】
是文件存取的最小单位
inode (索引节点)
中文译名为“索引节点”，也叫i节点
用于存储文件元信息

-b 指定块大小（man mkfs.xfs查看）

blockdev命令

这里可以使用blockdev --getbsz来查看一个磁盘的块的大小

inode的内容

• 文件的字节数
• 文件的拥有者的user id
• 文件的group id
• 文件的读，写，执行权限
• 文件的时间戳
  注意，inode不包含文件名，文件名存在目录当中
  可以用stat命令去查看文件的inode信息
  ls -i查看inode号
  
  其中时间戳
  Linux系统文件三个主要的时间属性
  ctime(change time)最近改动
  最后一次改变文件或目录 (属性) 的时间
  atime(access time)最近访问
  最后一次访问文件或目录的时间
  mtime(modify time)最近更改
  最后一次修改文件或目录 (内容)的时间

目录文件的结构
目录也是一种文件
目录文件的结构----会把文件名和inode号一 一对应起来
每个inode都有一个号码，操作系统用inode号码来识别不同的文件
Linux系统内部不使用文件名，而使用inode号码来识别文件
对于用户，文件名只是inode号码便于识别的别称

用户通过文件名打开文件时，系统内部的过程

• 1系统找到这个文件名对应的inode号码
• 2通过inode号码，获取inode信息
• 3根据inode信息，找到文件数据所在的block，读出数据

inode的大小

• inode也会消耗硬盘空间，每个inode的大小一般是128字节或256字节
• 格式化文件系统时确定inode的总数
• 使用df-i命令可以查看每个硬盘分区的inode总数和已经使用的数量
  
  注意：inode数量用完，则就无法继续写入文件，不管磁盘空间还有空余空间

磁盘仍有空间但无法写入

• inode号不足，删除无用的文件来空余inode号
• 磁盘出问题了，用badblocks -v 来检测
• 文件系统出问题了，用fack尝试检测修复

inode的特殊作用

由于inode号码与文件名分离，导致一些Unix/Linux系统具有以下的现象

• 当文件名包含特殊字符，例如"/"等，可能无法正常删除文件，直接删除inode，也可以删除文件
• 移动或重命名文件时，只改变文件名，不影响inode号码
• 打开一个文件后，系统通过inode号码来识别该文件，不再考虑文件名
  注意使用vi编辑器编辑文件时，inode号会变化，因为vi编辑器时会生成新的.swp隐藏文件用来编辑完成后替换原文件，而echo写入inode号不会发生变化

日志文件

日志的功能

• 用于记录系统、程序运行中发生的各种事件
• 通过阅读日志，有助于诊断和解决系统故障

日志文件的分类

• 内核及系统日志
  由系统服务rsyslog统一进行管理，日志格式基本相似
  主配置文件/etc/rsyslog.conf
• 用户日志
  记录系统用户登录及退出系统的相关信息
• 程序日志
  由各种应用程序独立管理的日志文件，记录格式不统一

日志保存位置

默认位于: /var/log目录下

主要日志文件介绍

• 内核及公共消息日志
  /var/log/messages------记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、 网络错误、程序故障等。对于未使用独立日志文件的应用程序或服务，一般都可以以从该日志文件中获得相关的事件记录信息。

• 计划任务日志
  /var/log/cron-----记录crond计划任务产生的事件信息

• 系统引导日志
  /var/log/dmesg------记录Linux系统在引导过程中的各种事件信息

• 邮件系统日志
  /var/log/maillog----记录进入或发出系统的电子邮件活动

• 用户登录日志
  /var/log/lastlog；------记录每个-用户最近的登录事件
  /var/log/secure；-------记录用户认证相关的安全事件信息
  /var/log/wtmp；-------记录每个用户登录、注销及系统启动和停机事件
  /var/run/btmp --------记录失败的、错误的登录尝试及验证事件

• rpm包列表日志
  /var/log/rpmpkgs--------记录系统中安装的各rpm包列表信息

日志消息的级别

数字等级越小，优先级越高，消息越重要

不常用的级别：none:没有优先级，不记录任何日志消息

日志的一般格式

more /var/log/messages

日志级别及记录服务内容由/etc/rsyslog.conf决定

格式：

其中常用的日志设备类型

举例：

• mail.info /var/log/maillog ------比指定级别更高的日志级别，包括指定级别自身，保存到/var/log/maillog中
• mail.=info /var/loq/mailloq --------明确指定日志级别为info，保存至/var/log/maillog
• mail.!info /var/loq/maillog -------除了指定的日志级别(info) 所有日志级别信息，保存至/var/log/mailloq
• *.info /var/log/maillog-------所有facility的info级别，保存至/var/log/maillog
• mail.* var/log/maillog ------- mal的所有日志级别信息，都保存至/var/log/maillog
• mail.notice;news.info /var/log/maillog ---------mail的notice以上记得日志级别和news的info以上的级别保存至/var/log/maillog
• mail,news.crit -/var/log/maillog ----------mail和nes的crit以上的日志级别保存/var/log/maillog中;"-"代表异步模式（你处理你的，我记录我的，即上一个日志没有记录完，继续记录的同时可以又记录下个日志）
  同步模式（一起做上一个做完做下一个）

rsyslog收集apache（阿帕奇即httpd）日志

先vim /etc/httpd/conf/httpd.conf


再vim /etc/rsyslog.conf

用户日志分析

/var/log/lastlog；------记录每个-用户最近的登录事件
/var/log/secure；-------记录用户认证相关的安全事件信息
/var/log/wtmp；-------记录每个用户登录、注销及系统启动和停机事件
/var/run/btmp --------记录失败的、错误的登录尝试及验证事件
/var/run/utmp -----------当前登录的每个用户的详细信息

分析工具

• users 、who、w、last、 lastb
• last 命令用于查询成功登录到系统的用户记录
• lastb 命令用于查询登录失败的用户记录

程序日志分析

由相应的应用程序独立进行管理
Web服务: /var/log/httpd/
access_log//记录客户访问事件
error_log//记录错误事件
代理服务: /ar/log/squid/
access.log、cache.log
分析工具
文本查看、grep过滤检索、Webmin管理套件中查看
awk、sed等文本过滤、格式化编辑工具
Webalizer、Awstats等专用日志分析工具

日志管理策略

• 及时作好备份和归档
• 延长日志保存期限
• 控制日志访问权限
  日志中可能会包含各类敏感信息，如账户、口令等
• 集中管理日志
  将服务器的日志文件发到统一的日志文件服务器
  便于日志信息的统一收集、整理和分析
  杜绝日志信息的意外丢失、恶意篡改或删除

rsyslog配置日志服务器来收集日志

关闭服务端和客户端的防火墙，selinux

修改客户端配置文件，并启动服务

vim /etc/rsyslog.conf

再在同一个文件中找到RULES这一行，在结尾添加命令

重启rsyslog

转到服务器端编辑

取消注释

添加以下内容

重启rsyslog

创建目录

验证
客户端

服务端

journalctl日志管理工具（centos7专有）

是centos7上专有的日志管理工具，该工具是从message这个文件里读取信息
Systemd统一管理所有unit的启动日志。带来的好处就是，可以只用journalctl一个命令，查看所有日志(内核日志和应用日志)
日志的配置文件是/etc/systemd/journald.conf