Linux 文件系统以及日志管理

一、inode 与block

1. inode 与block详解

在文件存储硬盘上，硬盘的最小存储单位叫做“扇区”，每个为512字节。操作系统读取硬盘的时候，不会一个个扇区地读取，这样效率太低，而是一次性连续读取多个扇区,即一次性读取一个"块" ( block )。这种由多个扇区组成的"块"，是文件存取的最小单位。"块"的大小 ,最常见的是4KB ,即连续八个扇区组成一个块

block（块）

连续的八个扇区组成一个block 是文件存取的最小单位

inode （索引节点）

文件数据存储在"块”中,那么还必须找到一个地方存储文件的元信息，比如文件的创建者、文件的创建日期、文件的大小等等。这种存储文件元信息的区域就叫inode（索引节点），也叫i节点。文件数据存储在block块中，文件属性存储在inode

中文译名为：索引节点，也叫i节点用于存储文件元信息

每一个inode大小一般是128字节或256字节

2.inode 作用

1.文件名包含特殊字符，可能无法正常删除。这时直接删除inode，能够起到删除文件的作用;
2.移动文件或重命名文件，只是改变文件名，不影响inode 号码;
3.打开一个文件以后，系统就以inode 号码来识别这个文件，不再考虑文件名。
4.文件数据被修改保存后，会生成一个新的inode 号码。

直接查看、修改文件内容或者改变文件名都不会影响 inode号，使用 vi 编辑器修改文件保存退出后会影响 inode号

针对无法正常删除文件名含有特殊符号的文件时，可根据 inode号来删除文件

二、恢复误删除的文件 ext3

extundelete 是一个开源的Linux 数据恢复工具，支持ext3、 ext4文件系统。 ( ext4只能在centos6版本恢复)

首先创建sdb1 ，格式化为ext3 类型：

进行挂载：

安装依赖包：

编译安装extundelete：

在opt下找到extundelete：

生成几个文件：

extundelete /dev/sdc1 --inode 2 #查看文件系统/dev/sdc1下存在哪些文件：

删除pkm.txt , jqg.txt 文件

extundelete /dev/sdc1 --inode 2 查询这两个文件状态以删除

将挂载解除：

extundelete /dev/sdc1 --restore-all #恢复/dev/sdc1 文件系统下的所有内容：

在当前目录下会出现一个RECOVERED_FILES/目录，里面保存了已经恢复的文件：

三、恢复误删除的文件 xfs

xfs类型文件备份和恢复
CentOs 7系统默认采用xfs类型的文件，xfs类型的文件可使用xfsdump 与xfsrestore 工具进行备份恢复

xfsdump命令常用的选项:
-f: 指定备份文件目录
-L: 指定标签session label
-M: 指定设备标签media labe........ 。
-s:备份单个文件，-s后面不能直接跟路径

xfsdump使用限制:
1.只能备份已挂载的文件系统
2.必须使用root的权限才能操作
3.只能备份XFS文件系统
4.备份后的数据只能让xfsrestore解析
5.不能备份两个具有相同UUID的文件系统(可用blkid命令查看)

首先建立sdb2 ，建立xfs格式的文件系统：

进行挂载：

检查xfsdump是否安装，若没有可yum安装：

在mnt下创建文件：

xfsdump -f /opt/dump_sdb /dev/sdb2 -L dump_sdb -M sdb2 #备份sdb2文件到/opt/dump_sdb下

将mnt下的文件删除：

使用xfsrestore -f /opt/dump_sdb /opt/mnt 将备份的数据恢复到mnt下：

查看mnt下，删除文件已恢复：

四、 Linux 系统日志文件

1. 日志的功能

用于记录系统、程序运行中发生的各种事件

通过阅读日志，有助于诊断和解决系统故障

2. 日志文件的分类

内核及系统日志

由系统服务rsyslog统一进行管理，日志格式基本相似

用户日志

记录系统用户登录及退出系统的相关信息

程序日志

由各种应用程序独立管理的日志文件，记录格式不统一

3. 常见的一些日志文件及位置

内核及公共消息日志:
/var/log/messages: 记录Linux内核消息及各种应用程序的公共日志信息，包括启动、IO错误、网络错误、程序故障等
对于未使用独立日志文件的应用程序或服务，一般都可以从该日志文件中获得相关的事件记录信息
计划任务日志:
/var/1og/cron: 记录crond计划任务产生的事件信息
系统引导日志:
/var/log/dmesg: 记录Linux系统在引导过程中的各种事件信息
邮件系统日志:
/var/log/maillog: 记录进入或发出系统的电子邮件活动

用户登录日志:
/var/log/secure: 记录用户认证相关的安全事件信息
/var/log/lastlog: 记录每个用户最近的登录事件。二进制格式
/var/1og/wtmp: 记录每个用户登录、注销及系统启动和停机事件。二进制格式
/var/run/btmp: 记录失败的、错误的登录尝试及验证事件。二进制格式

vim /etc/rsyslog.conf #查看rsyslog.conf 配置文件

4. 系统内核日志消息的优先级别

Linux系统内核日志消息的优先级别(数字等级越小，优先级越高，消息越重要) :

5. 公共日志/var/log/messages文件的记录格式

时间标签:消息发出的日期和时间。
主机名:生成消息的计算机的名称。
子系统名称:发出消息的应用程序的名称。
消息:消息的具体内容

6.用户日志分析

分析工具：users , w , who , last , lastb

users：命令只是简单地输出当前登录的用户名称，每个显示的用户名对应一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显示与其相同的次数

who：命令用于报告当前登录到系统中的每个用户的信息。使用该命令，系统管理员可以查看当前系统存在哪些不合法用户，从而对其进行审计和处理。who 的默认输出包括用户名、终端类型、登录日期及远程主机

w：命令用于显示当前系统中的每个用户及其所运行的进程信息，比 users、who 命令的输出内容要丰富一些

last:命令用于查询成功登录到系统的用户记录，最近的登录情况将显示在最前面。通过last 命令可以及时掌握 Linux 主机的登录情况，若发现未经授权的用户登录过，则表示当前主机可能已被入侵

lastb:命令用于查询登录失败的用户记录，如登录的用户名错误、密码不正确等情况都将记录在案。登录失败的情况属于安全事件，因为这表示可能有人在尝试猜解你的密码。除了使用 lastb 命令查看以外，也可以直接从安全日志文件/var/log/secure 中获得相关信息

我们在192.168.192.20主机上可以查看到有登录失败的信息：

五、日志文件管理

1. journalctl 工具

journalctl工具是CentOS-7才有的工具
Systemd 统一管理所有 Unit 的启动日志。带来的好处就是，可以只用journalctl一个命令，查看所有日志（内核日志和应用日志）

journalctl -b #查看本次启动的日志

journalctl -k #查看内核日志

journalctl -e #从结尾开始看

journalctl -x: #提供问题相关的网址

journalctl -u·httpd #指定某个服务报错

journalctl -p #日志级别查看

journalctl -xe #经常用来查看最近报错的日志

在httpd服务文件内写错：

此时启动httpd服务时报错：

我们可以使用journalctl -xe 命令查看报错：

2. rsyslog服务

rsyslog是CentOS 6以后的系统使用的日志系统，rsyslog是用来管理、记录日志的程序

首先查看服务是否开启：

mail.* 代表比*等级高的都记录，*代表任何，也就是说任何日志都记录
.none 代表不记录日志
日志存放位置为*：所有日志高于疼痛这个等级就会对所有在线用户广播
.=代表只记录=后面级别的日志
.!代表除了！后面级别的日志不记录其他的都记录
存放路径之前有“-”代表先放入缓存足够大之后再存放在路径