Linux 下的日志回滚机制探讨

network_thq

在linux下的日志会定期进行回滚，控制系统执行日志回滚操作的配置文件主要有:/etc/logrotate.conf 以及 /etc/logrotate.d/ 这个目录下的明细配置文件。

/etc/logrotate.d/  这个目录下的每个配置文件，都对应相应的系统服务，为每种服务设定特点的日志回滚机制，比如syslogd
/etc/logrotate.conf 这个文件是默认的日志回滚操作配置文件，在/etc/logrotate.d/ 这个目录下没有明细配置文件的系统日志，会依照该文件执行日志回滚。

/etc/logrotate.conf 解释
这个配置文件在不同的linux发行版本之间大同小异，其中默认配置项为：

weekly                每周进行一次日志回滚操作
rotate 4        执行回滚操作时，每次只保留四个文件
create                执行回滚操作时，建立新的文件来继续记录日志，把回滚后的日志文件重命名
dateext                使用日期来为回滚后的日志文件命名

/etc/logrotate.d/ 下的明细配置文件解释，这里以syslog 为例

SUSE ：
/etc/logrotate.d/syslog
/var/log/warn /var/log/messages /var/log/allmessages /var/log/localmessages /var/log/firewall {  须要进行回滚的日志文件，在大括号内配置执行回滚的操作方式。
    compress                                对回滚后的日志文件进行压缩
    dateext                                使用日期来为回滚后的日志文件命名       
    maxage 365                                执行回滚操作的时间为365天，达到这个时间后，就会删除所有的回滚日志文件，重新开始记录日志
    rotate 99                                每次保留99个文件
    missingok                                如果日志文件丢失，继续记录下一个日志文件，并不发送错误信息
    notifempty                                 如果日志文件时空的，则不进行回滚操作       
    size +4096k                                回滚时的日志文件增量为4096k 如果没有"+" 则表示超过这个值就执行一次回滚
    create 640 root root                改变回滚后的文件的权限和所属用户组
    sharedscripts                        执行完一次回滚操作后执行的脚本
    postrotate
        /etc/init.d/syslog reload       这里所执行的脚本是重新加载syslog这个系统服务
    endscript
}

RedHat：
/etc/logrotate.d/rsyslog
/var/log/messages /var/log/secure /var/log/maillog /var/log/spooler /var/log/boot.log /var/log/cron {
    sharedscripts
在RedHat Linux下的明细配置文件相对简单，在执行完一次回滚操作后，kill 掉syslog这个系统服务的进程，实际上就是执行一次 /etc/init.d/syslog restart,其他的操作则按照/etc/logrotate.conf 的配置进行。

日志回滚的执行时间由计划任务crontab，来控制，由于日志的回滚操作每天都在进行，特别是系统日志(syslog),回滚操作的计划执行由文件:/etc/cron.daily/logrotate 来控制，而系统每天的计划任务则由文件:/etc/crontab来控制:
SUSE:
/etc/cron.daily/logrotate
#!/bin/sh

TMPF=`mktemp /tmp/logrotate.XXXXXXXXXX`

/usr/sbin/logrotate /etc/logrotate.conf 2>&1 | tee $TMPF
EXITVALUE=${PIPESTATUS[0]}

if [ $EXITVALUE != 0 ]; then
    # wait a sec, we might just have restarted syslog
    sleep 1
    # tell what went wrong
    /bin/logger -t logrotate "ALERT exited abnormally with [$EXITVALUE]"
    /bin/logger -t logrotate -f $TMPF
fi

rm -f $TMPF
exit 0

/etc/crontab
SHELL=/bin/sh

RedHat：
/etc/cron.daily/logrotate
#!/bin/sh

/usr/sbin/logrotate /etc/logrotate.conf
EXITVALUE=$?
if [ $EXITVALUE != 0 ]; then
    /usr/bin/logger -t logrotate "ALERT exited abnormally with [$EXITVALUE]"
fi
exit 0

/etc/crontab
SHELL=/bin/bash
PATH=/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=root
HOME=/

# run-parts
01 * * * * root run-parts /etc/cron.hourly
02 4 * * * root run-parts /etc/cron.daily
22 4 * * 0 root run-parts /etc/cron.weekly
42 4 1 * * root run-parts /etc/cron.monthly

q1208c

这个不是叫 "回滚" 吧?

network_thq

回复 2# q1208c
可能叫"转储"会比较贴切一点。