Linux 日誌管理核心指南：Syslog 運作原理、配置與分析實戰

Syslog 程式角色

核心子系統（網路、檔案存取、記憶體管理等）需傳送訊息給用戶，包含來源與重要性。所有子系統將訊息送至公用訊息區，由 Syslog 程式處理。

日誌檔案位置與權限

日誌通常存放於 /var/log，需 Root 權限查看，資訊重要僅限超級用戶存取。

日誌訊息格式解析

純文字檔，每行一條訊息，四欄固定格式：

1. 時間戳記：訊息發出日期時間。
2. 主機名：產生訊息的電腦名稱。單機可省，網路環境集中處理時必要。
3. 子系統/程式名稱：如 Kernel 或進程名（含 PID）。
4. 訊息內容。

特殊訊息：MARK

預設每 20 分鐘產生一次 MARK 訊息，表示系統正常運行，類似心跳信號，亦可用於事後分析確定死機時間。

Syslog 設備與優先級

每條訊息指定類型：設備（來源子系統）與 優先級（重要性 0-7，0 最高）。

syslog.conf 配置規則

編輯 /etc/syslog.conf 定製任務。# 開頭為註解。其他行由兩欄組成：

• 選擇器：設備.優先級（可用 * 萬用字元）。
• 動作：匹配時採取行動（通常為檔案路徑）。

範例中，*.info;*.notice 送至 /usr/adm/messages，*.debug 送至 /usr/adm/debug，*.err 送至 /usr/adm/syslog。

修改配置生效

killall -HUP syslogd

發送 HUP 信號通知守護進程重讀配置檔。

總結

透過對日誌檔案管理，可更好維護系統，保障各類應用正常運行。