日志管理的運維技巧

查看設備日志

在現場查看設備日志的方法，一般都比較簡單。例如，對于H3C品牌的交換機設備來說，可以先進入交換機后臺系統，通過“dis logbuff”命令，就能快速查看到交換機的詳細日志信息。而對于部署在Windows系統下的服務器設備來說，可以在視窗界面下，根據相關菜單命令，有針對性地進行日志查看操作。

以Windows Server 2003服務器系統為例，在查看系統相關日志內容時，只要依次單擊“開始”、“設置”、“控制面板”命令，展開系統控制面板窗口，雙擊“管理工具”圖標，進入系統管理工具列表窗口。

點選“事件查看器”選項，并用鼠標雙擊之，打開如圖1所示的事件查看器界面。在該界面左側顯示窗格，管理員能夠看到服務器系統中包含的各種日志文件類型，比方說系統日志文件、安全日志文件、應用程序日志文件等。用鼠標雙擊其中的某個記錄選項，可以在對應事件的屬性設置對話框中，直觀地查看到目標記錄的詳細內容，這樣管理員就能大概判斷出服務器系統究竟發生了什么事情。

圖1 事件查看器窗口

圖2 Internet信息服務（IIS）窗口

除了現場查看，管理員還能通過合理的配置，實現設備日志的遠程查看操作。例如，要遠程查看Windows Server 2003服務器主機的日志信息時，可以先用管理員權限登錄服務器主機，逐一點選“開始”、“設置”、“控制面板”選項，再依次雙擊其后界面中的“添加或刪除程序”、“添加/刪除Windows組件”等功能選項，勾選“應用程序服務器”，按下“詳細信息”按鈕。

接著勾選“Internet信息服務（IIS）”選項，點擊“詳細信息”按鈕，選中“萬維網服務”選項（如圖2所示），點擊“詳細信息”按鈕，選中“遠程管理（html）”選項，單擊“確定”按鈕退出服務器遠程管理組件安裝向導對話框。

之后，網絡管理員就能在單位網絡的任何角落，通過Web訪問方式，遠程查看服務器主機的系統日志內容了。只要在一臺能上網的終端系統中，打開IE瀏覽窗口，在地址欄中輸入“http://服務器 IP 地址 ：8098”，展開服務器系統登錄頁面，輸入合適權限的帳號名稱和密碼內容，就可以進入服務器系統的遠程管理維護頁面。在這里，就能自由訪問服務器主機中的所有日志內容，而不需要到服務器設備現場去查看日志了。

備份設備日志

一些技術高明的惡意用戶都知道網絡設備日志的缺省存放路徑，他們可能會通過外力工具，悄悄修改設備日志內容，來將非法攻擊時遺留下來的“痕跡”抹除掉，那樣一來網管員就不能及時知道設備存在的安全隱患了。為此，及時備份網絡設備的日志內容相當有必要。

對 于Windows Server服務器主機來說，它包含三種類型，它們分別為系統日志、應用程序日志和安全日志。每種類型的日志都有各自對應的日志文件，其中系統日志內容保存在%systemroot%/system32/config/SysEvent.EVT文件中，應用程序日志內容保存在%systemroot%/system32/config/AppEvent.EVT文件中，安全日志內容保存在%systemroot%/system32/config/SecEvent.EVT文件中。將每個日志文件拷貝到其他位置，就能達到備份設備日志的目的。

在復制日志文件時，只要先進入服務器系統的資源管理器窗口，進入到日志文件的原始目錄窗口，選中特定類型的日志文件，用鼠標右鍵單擊處于選中狀態的文件，從彈出的快捷菜單中執行“復制”命令。

再打開新目錄窗口，并在該窗口的空白位置處單擊鼠標右鍵，并執行快捷菜單中的“粘貼”命令，這樣一來服務器系統的特定日志文件就被備份到新目錄窗口中了。

對于交換機之類的網絡設備來說，正常情況下通過配置Syslog服務，就能實現設備日志的備份操作，這種備份方法能擁有較好的安全性，特別是涉及到網絡核心設備的時候。

不過因為配置操作十分復雜，要是不需要每天備份交換機之類的設備日志，在單位局域網內的所有交換機等設備上，統一配置Syslog服務，會產生不小的工作量。

其實，管理員只要使用一款名為“AutoIt”的工具，通過生成模擬遠程登錄交換機的腳本程序，來實現交換機設備日志的高效備份操作。

例如，在備份Cisco U2960型號的交換機日志時，只要生成編譯一個aaa.exe的腳本程序，在該程序輸入代碼內容：

上述代碼中的10.176.0.32表示待備份日志的交換機設備IP地址，10.176.0.12為部署在單位局域網中的ftp服務器IP地址，該服務器專門用來備份交換機設備日志內容的，需要管理員事先配置好，其中的“sh log |directftp://10.176.0.12/log.txt”命令代碼表示將交換機日志信息輸出到指定ftp服務器的某個位置，備份文件為“log.txt”。

日后，只要定期執行aaa.exe的腳本程序，就能實現遠程登錄交換機，并自動對設備的日志進行備份的操作目的了。

圖3 IIS窗口

圖4 日志文件屬性對話窗口

轉移設備日志

為安全起見，建議大家將服務器設備的系統日志轉移到系統分區以外的位置。

例如，在轉移Windows服務器主機的系統日志存儲路徑時，只要逐一點擊“開始”、“運行”命令，彈出系統運行對話框，輸入“regedit”命令并回車，開啟系統注冊表編輯器運行狀態。

在編輯界面左側顯示窗格中，將鼠標定位于“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesEventlog” 注 冊表節點上，找到指定節點下的“System”、“Security”、“Application”等注冊表選項，分別對應服務器系統的系統日志文件、安全日志文件以及應用程序日志文件。

雙擊“System”選項下的“File”鍵值，在其后彈出的編輯對話框中，將新日志存儲路徑填到“數值數據”文本框中，單擊“確定”按鈕退出設置對話框，系統日志的存儲路徑就被修改成功了。

同樣地，再設置好安全日志、應用程序日志的新存儲路徑，最后重啟計算機系統讓上述設置正式生效。

部署在Windows服務器主機中的Web服務器，其日志文件默認存儲于“%Windir%System32LogFiles”，要想將其存儲路徑指向其他位置時，可以逐一點擊“開始”、“控制面板”、“管理工具”命令，雙擊管理工具列表中的“Internet服務管理器”圖標，切換到如圖3所示的IIS窗口。

從該窗口左側顯示區域，將鼠標定位到“目標主機名稱”、“網站”節點上，找到目標節點下的特定站點名稱，打開該站點的右鍵菜單，點選“屬性”命令，彈出Web站點屬性設置框。

點選“網站”選項卡，在對應選項設置頁面中，將“啟用日志記錄”勾選起來，在“活動日志格式”設置項處指定好日志文件的格式，缺省使用W3C日志文件格式，按下“屬性”按鈕，展開如圖4所示的日志文件屬性對話框。在這里，按需定義好日志文件的大小和新的存儲路徑即可。