三个日志管理工具
3.1 logrotate
一般的 Linux 发行版中都自带这个工具。日志文件过大如何处理是一个问题。它可以自动使日志循环，删除保存最久的日志。你可以把它放在 crontab
中，每天定期运行。这在很多 linux 发行版中都是缺省设置的。
您可以从下面的网址获得新版本的 logrotate:ftp://ftp.redhat.com/pub/redhat
它的配置文件是 /etc/logrotate.conf 我们可以在这个文件中设置日志的循环周期，日志的备份数目，以及如何备份日志等等。
在 /etc/logrotate.d 目录下包括一些工具的日志循环设置文件。例如：syslog,samba,cron 等等，在这些文件中指定如何根据
/etc/logrotate.conf 做日志循环，您也可以在这里面添加其他的文件以循环其他服务的日志。
关于配置文件的详细信息您可以参阅 man logrotate。
最后还是提醒您使用 cron 运行 logrotate。
3.2 swatch
swatch 是一个实时的日志监控工具。您可以设置您所感兴趣的事件，它可以在事件发生的时候告诉您。Swatch
有两种运行方式：一种可以在检查日志完毕退出，另一种可以连续监视日志中的新信息。
Swatch 提供了许多通知方式，例如：email，振铃，终端输出，多种颜色等等。
您可以从下面的站点下载：ftp://ftp.stanford.edu/general/security-tools/swatch/
swatch 的安装需要一些 perl 库的支持，安装前确信您的系统已经可以支持 perl。
Swatch 可以在命令行中进行一些简单的设置，例如日志循环时告诉 swatch 在循环完毕后重新启动等等。
配置文件 swatchmessage 是 swatch 软件的重点。这个文本文件告诉 swatch
需要监视什么日志，需要寻找什么触发器，和当触发时所要执行的动作。当 swatch 发现到与 swatchmessage
中定义的触发器正则表达式相符时，它将执行在 swatchrc 中定义的通知程序。Swatch 通过使用/usr/bin/tail -f 实时监视日志文件。
在这里我们不想过多的将如何配置，配置 swatch 非常简单，您可以参考 swatch 自带的配置文件。针对每个服务例如：ftp,sendmail
等等，你必须为每个您所关心的服务配置一个 swatchmessage 文件。
Swatch 启动时可以带很多参数，但使用通常如下格式启动它就可以了：
/usr/local/bin/swatch -c /var/log/syslogmessage -t /var/log/syslog -r 06:00&
-c 参数用于指定配置文件，-t 参数指定实时监视的日志文件，-r 指定重起的时间，"&" 使 swatch 在后台运行。启动后，swatch
产生子进程，因此 swatch 是以两个进程运行的，在停止 swatch 时必须杀掉两个进程。
也可以通过 logrotate 配置在日志循环后重起 swatch,可以在 /etc/logrotate.d
建立一个您所要关心的日志的循环文件，其中最关键的是要加入下面这行：
/usr/local/bin/swatch -c /var/log/syslogmessage -t /var/log/syslog -r ＋ 0
其他的地方可以仿造别的同目录下的文件。
|
