持久化日志

默認(rèn)情況下，Red Hat Enterprise Linux 7將系統(tǒng)日志存儲在/run/log/journal中，該日志存儲在tmpfs（臨時(shí)文件系統(tǒng)）上。這意味著在重新啟動時(shí)，所有存儲的信息都將丟失。如果目錄/var/log/journal存在，日志將存儲在那里，從而在重新引導(dǎo)后啟用持久日志。

可以通過使用以下步驟來啟用持久性日志:

mkdir/var/log/journal

chown root:systemd-journal  /var/log/journal
chmod 2755   /var/log/journal

通過向systemd-journald發(fā)送USR1信號，通知它應(yīng)該使用新位置。當(dāng)然你也是可以重啟的：

 killall -USR1 systemd-journald

實(shí)戰(zhàn)練習(xí):收集信息

在本實(shí)驗(yàn)中，我們呢將使用日志文件來排除web服務(wù)器的故障。

您的服務(wù)器一臺機(jī)器正在運(yùn)行一個(gè)web服務(wù)器，為文件servera.lab.example.com/test.html.提供服務(wù)。您的測試經(jīng)理剛剛發(fā)來一張通知，告知您不能從web瀏覽器訪問該文件。通知中沒有給出進(jìn)一步的信息。

使用servera上的日志文件調(diào)查此問題，然后解決此問題。

為了重現(xiàn)這個(gè)問題，你可以在火狐上瀏覽這是個(gè)網(wǎng)頁，也可以執(zhí)行下面的命令：

elinks -dump http://servera.lab.example.com/test.html

我們遇到HTTP 403的問題。這可能有很多原因:文件權(quán)限、Linux類型、內(nèi)部httpd配置等。

你知道web服務(wù)器本身正在運(yùn)行，并且防火墻是打開的。

我們?nèi)ervera服務(wù)器上看看日志呀：

那我們就應(yīng)該知道，在服務(wù)器上的httpd的日志大多數(shù)是存儲在：

/var/log/httpd/access_log   for all access attempts
/var/log/httpd/error_log   for all errors.

1.首先我們在 /var/log/httpd/access_log這個(gè)地方查詢關(guān)于test.html的任何消息。

grep test.html /var/log/httpd/access_log

這個(gè)輸出中的403是HTTP狀態(tài)代碼。除此之外，可以看到請求的URL、請求的日期和時(shí)間，以及使用的用戶代理，但是沒有任何東西可以進(jìn)一步幫助解決這個(gè)問題。

2.繼續(xù)檢查 /var/log/httpd/error_log

tail /var/log/httpd/error_log

這條消息告訴您httpd被文件權(quán)限阻止讀取test.html文件。這排除了httpd的內(nèi)部配置錯誤，所以文件權(quán)限和SELinux是可能的原因。

• 檢查/var/www/html/test.html上的文件權(quán)限，并在必要時(shí)進(jìn)行修復(fù)。

[root@servera ~]# ls -l /var/www/html/test.html

第一組rw-： 表示這個(gè)文件的擁有者對它的權(quán)限：可讀可寫

第二組---： 表示這個(gè)文件的所屬組對它的權(quán)限

第三組---： 表示這個(gè)文件的其他用戶（相對于上面兩類用戶）對它的權(quán)限

我們可以看到這個(gè)權(quán)限是不太對的。

chmod 644 /var/www/html/test.html

我們讓所有用戶有可讀權(quán)限。

我們使用Firefox或elinks再次測試對文件的訪問，發(fā)現(xiàn)還是沒有解決這個(gè)問題，那么說明文件權(quán)限問題不是全部問題。

那么就要去看看SElinux了：

SELinux(Security-Enhanced Linux) 是美國國家安全局（NSA）對于強(qiáng)制訪問控制的實(shí)現(xiàn)，是 Linux歷史上最杰出的新安全子系統(tǒng)。NSA是在Linux社區(qū)的幫助下開發(fā)了一種訪問控制體系，在這種訪問控制體系的限制下，進(jìn)程只能訪問那些在他的任務(wù)中所需要文件。

• 檢查SELinux日志，查看今天發(fā)生的任何拒絕，并修復(fù)您可能發(fā)現(xiàn)的任何問題。

查看selinux今天是否有拒絕：

 ausearch -i -m avc -ts today

這表明test.html文件具有tmp_t的SELinux類型，所以httpd不允許打開它

通過在上運(yùn)行遞歸restorecon修復(fù)此問題 /var/www

[root@servera ~]# restorecon -Rv /var/www

此時(shí)我們再次運(yùn)行那個(gè)網(wǎng)頁就發(fā)現(xiàn)OK了。