qmail郵件系統（六）qmail的日誌和管理
阿新 • • 發佈：2019-02-13
前面幾篇介紹了一個unix上安裝了qmail，做完所有的配置工作，你可能以為工作就要告一段落了。不幸的是，工作剛剛開始。相對於安裝和配置，真正讓人反感的是管理和對錯誤地發現和解決。下面我們講一下通過日誌，來判斷分析系統和qmail是否正常，來發現解決問題。在這裡，我們分系統日誌和qmail日誌兩部分來講。講一下系統日誌，因為主機系統安全是一切服務的基礎，也是qmail日誌的前提。
6.1 系統日誌
unix系統能夠跟蹤系統中發生的事件並將每一個事件的所有訊息記錄到系統的日誌檔案中。日誌對於安全來說，非常重要，他記錄了系統每天發生的各種各樣的事情，你可以通過他來檢查錯誤發生的原因，或者受到攻擊時攻擊者留下的痕跡。日誌主要的功能有：審計和監測。他還可以實時的監測系統狀態，監測和追蹤侵入者等等。作為一個管理員，你應該每天至少掃描一遍日誌，來監視系統或安全問題。在Linux系統中，有三個主要的日誌子系統.
6.1.1連線時間日誌
連線時間日誌--由多個程式執行，把紀錄寫入到/var/log/wtmp和/var/run/utmp，login等程式更新wtmp和utmp檔案，使系統管理員能夠跟蹤誰在何時登入到系統。wtmp和utmp檔案都是二進位制檔案，他們不能被諸如tail命令剪貼或合併（使用cat命令）。使用者需要使用who、w、users、last和ac來使用這兩個檔案包含的資訊。
who：who命令查詢utmp檔案並報告當前登入的每個使用者。Who的預設輸出包括使用者名稱、終端型別、登入日期及遠端主機。例如：who（回車）顯示（表1）
chyang pts/0 Aug 18 15:06 (192.168.1.3)
ynguo pts/2 Aug 18 15:32 (192.168.1.3)
ynguo pts/3 Aug 18 13:55 (192.168.1.3)
lewis pts/4 Aug 18 13:35 (192.168.1.3)
ynguo pts/7 Aug 18 14:12 (192.168.1.3)
ylou pts/8 Aug 18 14:15 (192.168.1.3)
如果指明瞭wtmp檔名，則who命令查詢所有以前的紀錄。命令who /var/log/wtmp將報告自從wtmp檔案建立或刪改以來的每一次登入。
w：w命令查詢utmp檔案並顯示當前系統中每個使用者和它所執行的程序資訊。例如：w（回車）顯示（表2）：3:36pm up 1
day, 22:34, 6 users, load average: 0.23, 0.29, 0.27
USER TTY FROM
chyang pts/0 202.38.68.242 3:06pm 2:04 0.08s 0.04s -bash
ynguo pts/2 202.38.79.47 3:32pm 0.00s 0.14s 0.05 w
lewis pts/3 202.38.64.233 1:55pm 30:39 0.27s 0.22s -bash
lewis pts/4 202.38.64.233 1:35pm 6.00s 4.03s 0.01s sh /home/users/
ynguo pts/7 simba.nic.ustc.e 2:12pm 0.00s 0.47s 0.24s telnet mail
ylou pts/8 202.38.64.235 2:15pm 1:09m 0.10s 0.04s -bash
users：users用單獨的一行打印出當前登入的使用者，每個顯示的使用者名稱對應一個登入會話。如果一個使用者有不止一個登入會話，那他的使用者名稱將顯示相同的次數。例如：users（回車）顯示：chyang lewis lewis ylou ynguo ynguo
last：last命令往回搜尋wtmp來顯示自從檔案第一次建立以來登入過的使用者。例如（表3）：
chyang pts/9 202.38.68.242 Tue Aug 1 08:34 - 11:23 (02:49)
cfan pts/6 202.38.64.224 Tue Aug 1 08:33 - 08:48 (00:14)
chyang pts/4 202.38.68.242 Tue Aug 1 08:32 - 12:13 (03:40)
lewis pts/3 202.38.64.233 Tue Aug 1 08:06 - 11:09 (03:03)
lewis pts/2 202.38.64.233 Tue Aug 1 07:56 - 11:09 (03:12)
如果指明瞭使用者，那麼last只報告該使用者的近期活動，例如：last ynguo（回車）顯示（表4）：
ynguo pts/4 simba.nic.ustc.e Fri Aug 4 16:50 - 08:20 (15:30)
ynguo pts/4 simba.nic.ustc.e Thu Aug 3 23:55 - 04:40 (04:44)
ynguo pts/11 simba.nic.ustc.e Thu Aug 3 20:45 - 22:02 (01:16)
ynguo pts/0 simba.nic.ustc.e Thu Aug 3 03:17 - 05:42 (02:25)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 01:04 - 03:16 1+02:12)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 00:43 - 00:54 (00:11)
ynguo pts/9 simba.nic.ustc.e Thu Aug 1 20:30 - 21:26 (00:55)
ac：ac命令根據當前的/var/log/wtmp檔案中的登入進入和退出來報告使用者連結的時間（小時），如果不使用標誌，則報告總的時間。例如：ac（回車）顯示：total 5177.47
ac -d（回車）顯示每天的總的連結時間 （表5）：
Aug 12 total 261.87
Aug 13 total 351.39
Aug 14 total 396.09
Aug 15 total 462.63
Aug 16 total 270.45
Aug 17 total 104.29
Today total 179.02
ac -p （回車）顯示每個使用者的總的連線時間 （表6）：
ynguo 193.23
yucao 3.35
rong 133.40
hdai 10.52
zjzhu 52.87
zqzhou 13.14
liangliu 24.34
total 5178.24
lastlog：lastlog檔案在每次有使用者登入時被查詢。可以使用lastlog命令來檢查某特定使用者上次登入的時間，並格式化輸出上次登入日誌/var/log/lastlog的內容。它根據UID排序顯示登入名、埠號（tty）和上次登入時間。如果一個使用者從未登入過，lastlog顯示"**Never logged**。注意需要以root執行該命令，例如（表7）：
rong 5 202.38.64.187 Fri Aug 18 15:57:01 +0800 2000
dbb **Never logged in**
xinchen **Never logged in**
pb9511 **Never logged in**
xchen 0 202.38.64.190 Sun Aug 13 10:01:22 +0800 2000
另外，可一加一些引數，例如，last -u 102將報告UID為102的使用者；last -t 7表示限制上一週的報告。
6.1.2 程序統計日誌
程序統計--由系統核心執行。當一個程序終止時，為每個程序往程序統計檔案（pacct或acct）中寫一個紀錄。程序統計的目的是為系統中的基本服務提供命令使用統計。
UNIX可以跟蹤每個使用者執行的每條命令，如果想知道昨晚弄亂了哪些重要的檔案，程序統計子系統可以告訴你。它對還跟蹤一個侵入者有幫助。與連線時間日誌不同，程序統計子系統預設不啟用，它必須啟動。在Linux系統中啟動程序統計使用accton命令，必須用root身份來執行。Accton命令的形式accton file，file必須先存在。先使用touch命令來建立pacct檔案：
# touch /var/log/pacct
然後執行accton：
# accton /var/log/pact
一旦accton被啟用，就可以使用lastcomm命令監測系統中任何時候執行的命令。若要關閉統計，可以使用不帶任何引數的accton命令。
lastcomm命令報告以前執行的檔案。不帶引數時，lastcomm命令顯示當前統計檔案生命週期內紀錄的所有命令的有關資訊。包括命令名、使用者、tty、命令花費的CPU時間和一個時間戳。如果系統有許多使用者，輸入則可能很長。下面的例子（表8）：
------------------------------------------------------------------------------
crond F root ?? 0.00 secs Sun Aug 20 00:16
promisc_check.s S root ?? 0.04 secs Sun Aug 20 00:16
promisc_check root ?? 0.01 secs Sun Aug 20 00:16
grep root ?? 0.02 secs Sun Aug 20 00:16
tail root ?? 0.01 secs Sun Aug 20 00:16
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.02 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.02 secs Sun Aug 20 00:15
sh root ?? 0.02 secs Sun Aug 20 00:15
ping S root ?? 0.00 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
------------------------------------------------------------------------------
程序統計的一個問題是pacct檔案可能增長的十分迅速。這時需要互動式的或經過cron機制執行sa命令來保持日誌資料在系統控制內。sa命令報告、清理並維護程序統計檔案。它能把/var/log/pacct中的資訊壓縮到摘要檔案/var/log/savacct和/var/log/usracct中。這些摘要包含按命令名和使用者名稱分類的系統統計資料。sa預設情況下先讀它們，然後讀pacct檔案，使報告能包含所有的可用資訊。sa的輸出有下面一些標記項（表9）：
----------------------------------------------------------------------------
avio--每次執行的平均I/O操作次數
cp--使用者和系統時間總和，以分鐘計
cpu--和cp一樣
k--核心使用的平均CPU時間，以1k為單位
k*sec--CPU儲存完整性，以1k-core秒
re--實時時間，以分鐘計
s--系統時間，以分鐘計
tio--I/O操作的總數
u--使用者時間，以分鐘計
-------------------------------------------------------------------------------
例如（表10）：
-------------------------------------------------------------------------------
842 173.26re 4.30cp 0avio 358k
2 10.98re 4.06cp 0avio 299k find
9 24.80re 0.05cp 0avio 291k ***other
105 30.44re 0.03cp 0avio 302k ping
104 30.55re 0.03cp 0avio 394k sh
162 0.11re 0.03cp 0avio 413k security.sh*
154 0.03re 0.02cp 0avio 273k ls
56 31.61re 0.02cp 0avio 823k ping6.pl*
2 3.23re 0.02cp 0avio 822k ping6.pl
35 0.02re 0.01cp 0avio 257k md5sum
97 0.02re 0.01cp 0avio 263k initlog
12 0.19re 0.01cp 0avio 399k promisc_check.s
15 0.09re 0.00cp 0avio 288k grep
11 0.08re 0.00cp 0avio 332k awk
------------------------------------------------------------------------------
使用者還可以根據使用者而不是命令來提供一個摘要報告。例如sa -m顯示如下（表11）：
885 173.28re 4.31cp 0avk
root 879 173.23re 4.31cp 0avk
alias 3 0.05re 0.00cp 0avk
qmailp 3 0.01re 0.00cp 0avk
6．1．3 錯誤日值
錯誤日誌--由syslogd執行。各種系統守護程序、使用者程式和核心通過syslog向檔案/var/log/messages報告值得注意的事件。另外有許多UNIX程式建立日誌。像HTTP和FTP這樣提供網路服務的伺服器也保持詳細的日誌。
Syslog已被許多日誌函式採納，它用在許多保護措施中--任何程式都可以通過syslog 紀錄事件。Syslog可以紀錄系統事件，可以寫到一個檔案或裝置中，或給使用者傳送一個資訊。它能紀錄本地事件或通過網路紀錄另一個主機上的事件。
Syslog裝置依據兩個重要的檔案：/etc/syslogd（守護程序）和/etc/syslog.conf配置檔案，習慣上，多數syslog資訊被寫到/var/adm或/var/log目錄下的資訊檔案（messages.*）。一個典型的syslog紀錄包括生成程式的名字和一個文字資訊。它還包括一個裝置和一個優先順序範圍（但不在日之中出現）。
每個syslog訊息被賦予下面的主要裝置之一（表12）：
--------------------------------------------------------------------------
LOG_AUTH--認證系統：login、su、getty等
LOG_AUTHPRIV--同LOG_AUTH，但只登入到所選擇的單個使用者可讀的檔案中
LOG_CRON--cron守護程序
LOG_DAEMON--其他系統守護程序，如routed
LOG_FTP--檔案傳輸協議：ftpd、tftpd
LOG_KERN--核心產生的訊息
LOG_LPR--系統印表機緩衝池：lpr、lpd
LOG_MAIL--電子郵件系統
LOG_NEWS--網路新聞系統
LOG_SYSLOG--由syslogd（8）產生的內部訊息
LOG_USER--隨機使用者程序產生的訊息
LOG_UUCP--UUCP子系統
LOG_LOCAL0~LOG_LOCAL7--為本地使用保留
-------------------------------------------------------------------------------
Syslog為每個事件賦予幾個不同的優先順序（表13）：
------------------------------------------------------------------------------
LOG_EMERG--緊急情況
LOG_ALERT--應該被立即改正的問題，如系統資料庫破壞
LOG_CRIT--重要情況，如硬碟錯誤
LOG_ERR--錯誤
LOG_WARNING--警告資訊
LOG_NOTICE--不是錯誤情況，但是可能需要處理
LOG_INFO--情報資訊
LOG_DEBUG--包含情報的資訊，通常旨在除錯一個程式時使用
------------------------------------------------------------------------------
syslog.conf檔案指明syslogd程式紀錄日誌的行為，該程式在啟動時查詢配置檔案。該檔案由不同程式或訊息分類的單個條目組成，每個佔一行。對每類訊息提供一個選擇域和一個動作域。這些域由tab隔開：選擇域指明訊息的型別和優先順序；動作域指明syslogd接收到一個與選擇標準相匹配的訊息時所執行的動作。每個選項是由裝置和優先順序組成。當指明一個優先順序時，syslogd將紀錄一個擁有相同或更高優先順序的訊息。所以如果指明"crit"，那所有標為crit、alert和emerg的訊息將被紀錄。每行的行動域指明當選擇域選擇了一個給定訊息後應該把他傳送到哪兒。
例如，如果想把所有郵件訊息紀錄到一個檔案中，如下（表14）：
------------------------------------------------------------------------------
#Log all the mail messages in one place
mail.* /var/log/maillog
其他裝置也有自己的日誌。UUCP和news裝置能產生許多外部訊息。它把這些訊息存到自己的日誌（/var/log/spooler）中並把級別限為"err"或更高。例如：
# Save mail and news errors of level err and higher in aspecial file.
uucp,news.crit /var/log/spooler
當一個緊急訊息到來時，可能想讓所有的使用者都得到。也可能想讓自己的日誌接收並儲存。
#Everybody gets emergency messages， plus log them on anther machine
*.emerg *
*.emerg @linuxaid.com.cn
alert訊息應該寫到root和tiger的個人賬號中：
#Root and Tiger get alert and higher messages
*.alert root,tiger
有時syslogd將產生大量的訊息。例如核心（"kern"裝置）可能很冗長。使用者可能想把核心訊息紀錄到/dev/console中。下面的例子表明核心日誌紀錄被註釋掉了：
#Log all kernel messages to the console
#Logging much else clutters up the screen
#kern.* /dev/console
使用者可以在一行中指明所有的裝置。下面的例子把info或更高級別的訊息送到/var/log/messages，除了mail以外。級別"none"禁止一個裝置：
#Log anything（except mail）of level info or higher
#Don\'t log private authentication messages!
*.info:mail.none;authpriv.none /var/log/messages
-----------------------------------------------------------------------------
在有些情況下，可以把日誌送到印表機，這樣網路入侵者怎麼修改日誌都沒有用了。通常要廣泛紀錄日誌。Syslog裝置是一個攻擊者的顯著目標。一個為其他主機維護日誌的系統對於防範伺服器攻擊特別脆弱，因此要特別注意。
有個小命令logger為syslog（3）系統日誌檔案提供一個shell命令介面，使使用者能建立日誌檔案中的條目。用法：logger 例如：logger This is a test！
它將產生一個如下的syslog紀錄：Aug 19 22:22:34 tiger: This is a test!
注意不要完全相信日誌，因為攻擊者很容易修改它的。
6.1.4 程式日誌
許多程式通過維護日誌來反映系統的安全狀態。su命令允許使用者獲得另一個使用者的許可權，所以它的安全很重要，它的檔案為sulog。同樣的還有sudolog。另外，象Apache有兩個日誌：access_log和error_log。
這裡用了大量的篇章來說了系統日誌，是必要的。如果不能保證主機的安全，也談不上服務了。下面，我們將詳細講一下mail日誌。
6.2.1 qmail的替代日誌程式
長久以來，針對標準的syslogd程式的效率，已經有很多爭議了。一個訊息傳送給syslogd，病不能保證訊息被真正的寫道日誌中，另外，他的寫的速度並不快。
下面是slogger遵循的幾個條件：
1、 每一條訊息都有時間戳，時間戳被附加到訊息中。
2、 每一條訊息都要對關鍵字aler：或者warning:進行檢查。如果其中有一個出現了，就為訊息選定一個適當的優先順序水平。
3、 訊息中的不可列印的字元被轉換成問號（？）。
4、 不記錄空白行。
5、 超過800個字元的訊息被分割成800個字元的多行訊息。分割的行在時間戳後用一個加號標識。
針對以上，qmail的創始人dan bernstein開發了splogger程式，它包含在qmail軟體包中。
用它來替代系統的syslog.是用splogger程式作為日誌程式，將qmail記錄重新定向給splogger程式，在將記錄轉發給linux的syslog程式。Mail日誌的位置取決於/etc/syslog.conf檔案設定的值，在上面我們詳細將過了怎樣設定。
6.2.2 讀qmail日誌
一旦訊息被記錄，就應該監控記錄以發現問題。下面看一個qmail的mail日誌檔案（表15）：
-------------------------------------------------------------------------------------
1、 Apr 11 02:02:18 mail qmail : 955436538.813320 new msg 18995
2、 Apr 11 02:02:18 mail qmail : 955436538.815787 info msg 18995: byte 603 from <
3、 Apr 11 02:02:18 mail qmail : 955436538.892499 starting delivery 103: msg 18995 to local [email protected]
4、 Apr 11 02:02:18 mail qmail : 955436538.895936 status: local 1/10 remote 0/20
5、 Apr 11 02:02:19 mail qmail : 955436539.075785 delivery 103: success:did_0+1+0/qp-26976/
6、 Apr 11 02:02:19 mail qmail : 955436539.098222 status: local 0/10 remote 0/20
7、 Apr 11 02:02:19 mail qmail : 955436539.100838 end msg 18995
-----------------------------------------------------------------------------------
第一行給出了接收這條新訊息的qmail日誌。
第二行使用傳送者以及訊息的大小標識訊息。
第三行表示qmail正在初始化傳送。
第四行給出了qmail的狀態。顯示出郵件佇列中只有一條訊息在等待發送。
第五行表明成功將訊息傳送給本地使用者。
正如以上看到，qmail項可能看起來令人疑惑，他有6種類型的qmail日誌訊息：
1、 狀態
2、 致命問題
3、 嚴重問題
4、 訊息
5、 傳送項
6、 警告
下面我們將逐一介紹qmail的日誌型別。
6.2.3 狀態訊息
狀態訊息記錄了伺服器上的操作。一條狀態訊息的格式如下：
status：local n/L remote r/R
其中n/L為佇列中的本地訊息數量(n) 以及本地郵件佇列的大小(L)。r/R是佇列中的遠端訊息的數量(r)以及遠端郵件佇列的大小。如（表15）中的第四行。如果你注意到佇列頻繁的被訊息填滿，你就有可能要改變郵件佇列的大小了。可以通過更改qmail的控制檔案，來實現。在《qmail管理維護（三）系統配置》中我們講過。
6.2.4 致命問題
致命問題是那些導致qmail異常終止和停止執行的問題，應該馬上處理你的mail server。
Qmail致命問題日誌訊息（表16）
----------------------------------------------------------------------------------
訊息 描述
-----------------------------------------------------------------------------------
alert：can not start qmail-send不能初始化來進行啟動。通常這是一個配置檔案問題的徵兆
alert：oh no! lost 一個支援後臺的程式，例如：qmail-lspawn or qmail-rspawn已經死掉，因此qmail-send將關閉。
---------------------------------------------------------------------------------
6.2.5 嚴重問題
有嚴重問題的紀錄，就是qmail不能處理一個特定的事件但會重試。嚴重問題不會qmail
停止執行，但如果持續出現，可能會導致一個致命問題出現，使qmail關閉。如下：
qmail嚴重問題日誌（表16）
-------------------------------------------------------------------------------------
訊息 描述
------------------------------------------------------------------------------------
alert: unable to append bounce message qmail-send不能處理一個永久的傳送失敗，通
常是沒有硬碟空間了。
alert: out of memory qmail-send 試圖分配記憶體，但是失敗了
alert: unable to opendir qmail-send不能從硬碟開啟一個檔案列表，因
為許可權不夠，或描述符表已滿。
alert: unable to switch back qmail-send收到一個sighup訊號，但不能讀佇列目錄。
alert: unable to reread qmail-send收到一個sighup訊號，但不能讀控制目錄。
------------------------------------------------------------------------------
6.2.6 qmail訊息
qmail為進入和退出qmail系統的每一條訊息建立了一個日誌紀錄。這些日誌記錄是基每
一條訊息指定一個標號。下面是一些可能出現的訊息日誌項（表17）
-----------------------------------------------------------------------------
訊息 描述
-------------------------------------------------------------------------------
new msg m qmail-send正在處理郵件佇列中的訊息號為m
info msg m: bytes b from <s>; qp q uid u 訊息m包含了b個位元組，來自發送者s,被使用者ID u排隊，佇列識別符號為q。
bounce msg m qp q 訊息m傳送失敗。返回訊息的佇列識別符號為q。
triple bounce: discarding m 訊息m被標識成不能傳送的兩次返回訊息，
將被刪除。
end msg m 訊息m正被從佇列中除去。
-----------------------------------------------------------------------------------
6.2.7 傳送項
當qmail-send試圖傳送一條訊息，必須將一條狀態訊息紀錄到日誌中。下面給出了可能的
傳送項日誌訊息。Qmail傳送日誌項（表18）
-------------------------------------------------------------------------------------
訊息 描述
------------------------------------------------------------------------------------
starting delivery d: msg m to qmail-send正在處理一個髮送訊息m，傳送ID為d。
delivery d: success 傳送項d被成功的傳送給接收方。
delivery d: deferral 傳送項d遇到一個暫時的傳送失敗，將重試。
delivery d: failure 傳送項d遇到一個永久失敗，訊息將返回。
delivery d: report mangled will defer 傳送項d在qmail-rspawn 或qmail-lspawn中遇到問題，將重試。
-------------------------------------------------------------------------------------
6.2.8 警告
當在處理郵件中遇到錯誤，qmail將做為警告記錄到日誌中。警告表示了qmail能解決的
暫時性問題。但是，警告可能是一個在問題的前兆。下面是一些qmail的警告訊息（表19）
----------------------------------------------------------------------------------
訊息 描述
-----------------------------------------------------------------------------------
internal error: delivery report out of range qmail-lspawn或qmail-rspawn為一個不存在的傳送項ID返回了一個傳送報告。
qmail-clean unable to clean up qmail-clean不能刪除一個檔案。
trouble fsyncing qmail-send不能重寫磁碟。
trouble in select 一個可能的作業系統錯誤。
trouble injecting bounce message qmail-send不能排隊一個返回訊息。
trouble marking qmail-send不能記錄一次傳送不成功的結果。
trouble opening qmail-send不能開啟本地和遠端接收者的列表。
trouble reading qmail-send不能讀收者的列表。
trouble writing to qmail-send不能處理一條列表中的訊息。
trouble to create qmail-send不能處理一條列表中的訊息。
unable to open qmail-send不能讀一條排隊訊息中的信件頭。
unable to start qmail-queue qmail-queue qmail-send不能排隊一條返回訊息。
unable to stat qmail-send不能得到有關一個檔案的訊息。
unable to unlink qmail-send不能刪除一個檔案。
unable to utime qmail-send不能紀錄下一次排程傳送時間。
unknown record type in qmail-send或qmail-queue中的一個嚴重的錯誤。
----------------------------------------------------------------------------------
6.2.9 日誌管理工具
qmail日誌檔案是狀態訊息，傳送訊息、問題訊息的一個複雜體。通過察看日誌，能縮小
和發現問題所在。對於看大量的日誌檔案，非常煩惱。可以藉助於一些日誌工具，來減小工
作量。
常用的工具有Dan Bernstein開發的qmailanalog。
Web站點http://cr.yp.to/qmailanalog.html 。他的實用程式是matchup、xrecipient、xsender工具。
第二個是daemontooks軟體，他的multlog工具是一個不錯的選擇。用它來替代unix的
logger程式。他的web站點：http://cr.yp.to/daemontools/daemontools.html。有興趣，大家可
以看看。
小結;
其實，問題是多種多樣的，各個方面的。通過對日誌很好的分析，可以幫助大家找出問
題和預防事故。這裡只是一個簡單介紹，日誌和問題出現的情況，還有退信資訊等等結合起
來，會更好的發現問題的原因，從而解決問題。當然，日誌也不是絕對的，具體情況，要具
體分析了。
關於本文擋的宣告
這份文件，是我參考了大量的網友的文章和書籍而寫成的。自己經過反覆安裝和測試，均安裝成功。但由於本人水平有限，文件難免有一些遺漏。如果你在安裝的時候發現有什麼地方有錯誤的話，請去www.chinaunix.net 的mail論壇討論，我儘快回覆的。
對於這片文件，網友可以任意轉貼。但出於對作者的尊重，轉貼時請註明原作者姓名。
6.1 系統日誌
unix系統能夠跟蹤系統中發生的事件並將每一個事件的所有訊息記錄到系統的日誌檔案中。日誌對於安全來說，非常重要，他記錄了系統每天發生的各種各樣的事情，你可以通過他來檢查錯誤發生的原因，或者受到攻擊時攻擊者留下的痕跡。日誌主要的功能有：審計和監測。他還可以實時的監測系統狀態，監測和追蹤侵入者等等。作為一個管理員，你應該每天至少掃描一遍日誌，來監視系統或安全問題。在Linux系統中，有三個主要的日誌子系統.
6.1.1連線時間日誌
連線時間日誌--由多個程式執行，把紀錄寫入到/var/log/wtmp和/var/run/utmp，login等程式更新wtmp和utmp檔案，使系統管理員能夠跟蹤誰在何時登入到系統。wtmp和utmp檔案都是二進位制檔案，他們不能被諸如tail命令剪貼或合併（使用cat命令）。使用者需要使用who、w、users、last和ac來使用這兩個檔案包含的資訊。
who：who命令查詢utmp檔案並報告當前登入的每個使用者。Who的預設輸出包括使用者名稱、終端型別、登入日期及遠端主機。例如：who（回車）顯示（表1）
chyang pts/0 Aug 18 15:06 (192.168.1.3)
ynguo pts/2 Aug 18 15:32 (192.168.1.3)
ynguo pts/3 Aug 18 13:55 (192.168.1.3)
lewis pts/4 Aug 18 13:35 (192.168.1.3)
ynguo pts/7 Aug 18 14:12 (192.168.1.3)
ylou pts/8 Aug 18 14:15 (192.168.1.3)
如果指明瞭wtmp檔名，則who命令查詢所有以前的紀錄。命令who /var/log/wtmp將報告自從wtmp檔案建立或刪改以來的每一次登入。
w：w命令查詢utmp檔案並顯示當前系統中每個使用者和它所執行的程序資訊。例如：w（回車）顯示（表2）：3:36pm up 1
day, 22:34, 6 users, load average: 0.23, 0.29, 0.27
USER TTY FROM
chyang pts/0 202.38.68.242 3:06pm 2:04 0.08s 0.04s -bash
ynguo pts/2 202.38.79.47 3:32pm 0.00s 0.14s 0.05 w
lewis pts/3 202.38.64.233 1:55pm 30:39 0.27s 0.22s -bash
lewis pts/4 202.38.64.233 1:35pm 6.00s 4.03s 0.01s sh /home/users/
ynguo pts/7 simba.nic.ustc.e 2:12pm 0.00s 0.47s 0.24s telnet mail
ylou pts/8 202.38.64.235 2:15pm 1:09m 0.10s 0.04s -bash
users：users用單獨的一行打印出當前登入的使用者，每個顯示的使用者名稱對應一個登入會話。如果一個使用者有不止一個登入會話，那他的使用者名稱將顯示相同的次數。例如：users（回車）顯示：chyang lewis lewis ylou ynguo ynguo
last：last命令往回搜尋wtmp來顯示自從檔案第一次建立以來登入過的使用者。例如（表3）：
chyang pts/9 202.38.68.242 Tue Aug 1 08:34 - 11:23 (02:49)
cfan pts/6 202.38.64.224 Tue Aug 1 08:33 - 08:48 (00:14)
chyang pts/4 202.38.68.242 Tue Aug 1 08:32 - 12:13 (03:40)
lewis pts/3 202.38.64.233 Tue Aug 1 08:06 - 11:09 (03:03)
lewis pts/2 202.38.64.233 Tue Aug 1 07:56 - 11:09 (03:12)
如果指明瞭使用者，那麼last只報告該使用者的近期活動，例如：last ynguo（回車）顯示（表4）：
ynguo pts/4 simba.nic.ustc.e Fri Aug 4 16:50 - 08:20 (15:30)
ynguo pts/4 simba.nic.ustc.e Thu Aug 3 23:55 - 04:40 (04:44)
ynguo pts/11 simba.nic.ustc.e Thu Aug 3 20:45 - 22:02 (01:16)
ynguo pts/0 simba.nic.ustc.e Thu Aug 3 03:17 - 05:42 (02:25)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 01:04 - 03:16 1+02:12)
ynguo pts/0 simba.nic.ustc.e Wed Aug 2 00:43 - 00:54 (00:11)
ynguo pts/9 simba.nic.ustc.e Thu Aug 1 20:30 - 21:26 (00:55)
ac：ac命令根據當前的/var/log/wtmp檔案中的登入進入和退出來報告使用者連結的時間（小時），如果不使用標誌，則報告總的時間。例如：ac（回車）顯示：total 5177.47
ac -d（回車）顯示每天的總的連結時間 （表5）：
Aug 12 total 261.87
Aug 13 total 351.39
Aug 14 total 396.09
Aug 15 total 462.63
Aug 16 total 270.45
Aug 17 total 104.29
Today total 179.02
ac -p （回車）顯示每個使用者的總的連線時間 （表6）：
ynguo 193.23
yucao 3.35
rong 133.40
hdai 10.52
zjzhu 52.87
zqzhou 13.14
liangliu 24.34
total 5178.24
lastlog：lastlog檔案在每次有使用者登入時被查詢。可以使用lastlog命令來檢查某特定使用者上次登入的時間，並格式化輸出上次登入日誌/var/log/lastlog的內容。它根據UID排序顯示登入名、埠號（tty）和上次登入時間。如果一個使用者從未登入過，lastlog顯示"**Never logged**。注意需要以root執行該命令，例如（表7）：
rong 5 202.38.64.187 Fri Aug 18 15:57:01 +0800 2000
dbb **Never logged in**
xinchen **Never logged in**
pb9511 **Never logged in**
xchen 0 202.38.64.190 Sun Aug 13 10:01:22 +0800 2000
另外，可一加一些引數，例如，last -u 102將報告UID為102的使用者；last -t 7表示限制上一週的報告。
6.1.2 程序統計日誌
程序統計--由系統核心執行。當一個程序終止時，為每個程序往程序統計檔案（pacct或acct）中寫一個紀錄。程序統計的目的是為系統中的基本服務提供命令使用統計。
UNIX可以跟蹤每個使用者執行的每條命令，如果想知道昨晚弄亂了哪些重要的檔案，程序統計子系統可以告訴你。它對還跟蹤一個侵入者有幫助。與連線時間日誌不同，程序統計子系統預設不啟用，它必須啟動。在Linux系統中啟動程序統計使用accton命令，必須用root身份來執行。Accton命令的形式accton file，file必須先存在。先使用touch命令來建立pacct檔案：
# touch /var/log/pacct
然後執行accton：
# accton /var/log/pact
一旦accton被啟用，就可以使用lastcomm命令監測系統中任何時候執行的命令。若要關閉統計，可以使用不帶任何引數的accton命令。
lastcomm命令報告以前執行的檔案。不帶引數時，lastcomm命令顯示當前統計檔案生命週期內紀錄的所有命令的有關資訊。包括命令名、使用者、tty、命令花費的CPU時間和一個時間戳。如果系統有許多使用者，輸入則可能很長。下面的例子（表8）：
------------------------------------------------------------------------------
crond F root ?? 0.00 secs Sun Aug 20 00:16
promisc_check.s S root ?? 0.04 secs Sun Aug 20 00:16
promisc_check root ?? 0.01 secs Sun Aug 20 00:16
grep root ?? 0.02 secs Sun Aug 20 00:16
tail root ?? 0.01 secs Sun Aug 20 00:16
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.02 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.02 secs Sun Aug 20 00:15
sh root ?? 0.02 secs Sun Aug 20 00:15
ping S root ?? 0.00 secs Sun Aug 20 00:15
ping6.pl F root ?? 0.01 secs Sun Aug 20 00:15
sh root ?? 0.01 secs Sun Aug 20 00:15
ping S root ?? 0.01 secs Sun Aug 20 00:15
------------------------------------------------------------------------------
程序統計的一個問題是pacct檔案可能增長的十分迅速。這時需要互動式的或經過cron機制執行sa命令來保持日誌資料在系統控制內。sa命令報告、清理並維護程序統計檔案。它能把/var/log/pacct中的資訊壓縮到摘要檔案/var/log/savacct和/var/log/usracct中。這些摘要包含按命令名和使用者名稱分類的系統統計資料。sa預設情況下先讀它們，然後讀pacct檔案，使報告能包含所有的可用資訊。sa的輸出有下面一些標記項（表9）：
----------------------------------------------------------------------------
avio--每次執行的平均I/O操作次數
cp--使用者和系統時間總和，以分鐘計
cpu--和cp一樣
k--核心使用的平均CPU時間，以1k為單位
k*sec--CPU儲存完整性，以1k-core秒
re--實時時間，以分鐘計
s--系統時間，以分鐘計
tio--I/O操作的總數
u--使用者時間，以分鐘計
-------------------------------------------------------------------------------
例如（表10）：
-------------------------------------------------------------------------------
842 173.26re 4.30cp 0avio 358k
2 10.98re 4.06cp 0avio 299k find
9 24.80re 0.05cp 0avio 291k ***other
105 30.44re 0.03cp 0avio 302k ping
104 30.55re 0.03cp 0avio 394k sh
162 0.11re 0.03cp 0avio 413k security.sh*
154 0.03re 0.02cp 0avio 273k ls
56 31.61re 0.02cp 0avio 823k ping6.pl*
2 3.23re 0.02cp 0avio 822k ping6.pl
35 0.02re 0.01cp 0avio 257k md5sum
97 0.02re 0.01cp 0avio 263k initlog
12 0.19re 0.01cp 0avio 399k promisc_check.s
15 0.09re 0.00cp 0avio 288k grep
11 0.08re 0.00cp 0avio 332k awk
------------------------------------------------------------------------------
使用者還可以根據使用者而不是命令來提供一個摘要報告。例如sa -m顯示如下（表11）：
885 173.28re 4.31cp 0avk
root 879 173.23re 4.31cp 0avk
alias 3 0.05re 0.00cp 0avk
qmailp 3 0.01re 0.00cp 0avk
6．1．3 錯誤日值
錯誤日誌--由syslogd執行。各種系統守護程序、使用者程式和核心通過syslog向檔案/var/log/messages報告值得注意的事件。另外有許多UNIX程式建立日誌。像HTTP和FTP這樣提供網路服務的伺服器也保持詳細的日誌。
Syslog已被許多日誌函式採納，它用在許多保護措施中--任何程式都可以通過syslog 紀錄事件。Syslog可以紀錄系統事件，可以寫到一個檔案或裝置中，或給使用者傳送一個資訊。它能紀錄本地事件或通過網路紀錄另一個主機上的事件。
Syslog裝置依據兩個重要的檔案：/etc/syslogd（守護程序）和/etc/syslog.conf配置檔案，習慣上，多數syslog資訊被寫到/var/adm或/var/log目錄下的資訊檔案（messages.*）。一個典型的syslog紀錄包括生成程式的名字和一個文字資訊。它還包括一個裝置和一個優先順序範圍（但不在日之中出現）。
每個syslog訊息被賦予下面的主要裝置之一（表12）：
--------------------------------------------------------------------------
LOG_AUTH--認證系統：login、su、getty等
LOG_AUTHPRIV--同LOG_AUTH，但只登入到所選擇的單個使用者可讀的檔案中
LOG_CRON--cron守護程序
LOG_DAEMON--其他系統守護程序，如routed
LOG_FTP--檔案傳輸協議：ftpd、tftpd
LOG_KERN--核心產生的訊息
LOG_LPR--系統印表機緩衝池：lpr、lpd
LOG_MAIL--電子郵件系統
LOG_NEWS--網路新聞系統
LOG_SYSLOG--由syslogd（8）產生的內部訊息
LOG_USER--隨機使用者程序產生的訊息
LOG_UUCP--UUCP子系統
LOG_LOCAL0~LOG_LOCAL7--為本地使用保留
-------------------------------------------------------------------------------
Syslog為每個事件賦予幾個不同的優先順序（表13）：
------------------------------------------------------------------------------
LOG_EMERG--緊急情況
LOG_ALERT--應該被立即改正的問題，如系統資料庫破壞
LOG_CRIT--重要情況，如硬碟錯誤
LOG_ERR--錯誤
LOG_WARNING--警告資訊
LOG_NOTICE--不是錯誤情況，但是可能需要處理
LOG_INFO--情報資訊
LOG_DEBUG--包含情報的資訊，通常旨在除錯一個程式時使用
------------------------------------------------------------------------------
syslog.conf檔案指明syslogd程式紀錄日誌的行為，該程式在啟動時查詢配置檔案。該檔案由不同程式或訊息分類的單個條目組成，每個佔一行。對每類訊息提供一個選擇域和一個動作域。這些域由tab隔開：選擇域指明訊息的型別和優先順序；動作域指明syslogd接收到一個與選擇標準相匹配的訊息時所執行的動作。每個選項是由裝置和優先順序組成。當指明一個優先順序時，syslogd將紀錄一個擁有相同或更高優先順序的訊息。所以如果指明"crit"，那所有標為crit、alert和emerg的訊息將被紀錄。每行的行動域指明當選擇域選擇了一個給定訊息後應該把他傳送到哪兒。
例如，如果想把所有郵件訊息紀錄到一個檔案中，如下（表14）：
------------------------------------------------------------------------------
#Log all the mail messages in one place
mail.* /var/log/maillog
其他裝置也有自己的日誌。UUCP和news裝置能產生許多外部訊息。它把這些訊息存到自己的日誌（/var/log/spooler）中並把級別限為"err"或更高。例如：
# Save mail and news errors of level err and higher in aspecial file.
uucp,news.crit /var/log/spooler
當一個緊急訊息到來時，可能想讓所有的使用者都得到。也可能想讓自己的日誌接收並儲存。
#Everybody gets emergency messages， plus log them on anther machine
*.emerg *
*.emerg @linuxaid.com.cn
alert訊息應該寫到root和tiger的個人賬號中：
#Root and Tiger get alert and higher messages
*.alert root,tiger
有時syslogd將產生大量的訊息。例如核心（"kern"裝置）可能很冗長。使用者可能想把核心訊息紀錄到/dev/console中。下面的例子表明核心日誌紀錄被註釋掉了：
#Log all kernel messages to the console
#Logging much else clutters up the screen
#kern.* /dev/console
使用者可以在一行中指明所有的裝置。下面的例子把info或更高級別的訊息送到/var/log/messages，除了mail以外。級別"none"禁止一個裝置：
#Log anything（except mail）of level info or higher
#Don\'t log private authentication messages!
*.info:mail.none;authpriv.none /var/log/messages
-----------------------------------------------------------------------------
在有些情況下，可以把日誌送到印表機，這樣網路入侵者怎麼修改日誌都沒有用了。通常要廣泛紀錄日誌。Syslog裝置是一個攻擊者的顯著目標。一個為其他主機維護日誌的系統對於防範伺服器攻擊特別脆弱，因此要特別注意。
有個小命令logger為syslog（3）系統日誌檔案提供一個shell命令介面，使使用者能建立日誌檔案中的條目。用法：logger 例如：logger This is a test！
它將產生一個如下的syslog紀錄：Aug 19 22:22:34 tiger: This is a test!
注意不要完全相信日誌，因為攻擊者很容易修改它的。
6.1.4 程式日誌
許多程式通過維護日誌來反映系統的安全狀態。su命令允許使用者獲得另一個使用者的許可權，所以它的安全很重要，它的檔案為sulog。同樣的還有sudolog。另外，象Apache有兩個日誌：access_log和error_log。
這裡用了大量的篇章來說了系統日誌，是必要的。如果不能保證主機的安全，也談不上服務了。下面，我們將詳細講一下mail日誌。
6.2.1 qmail的替代日誌程式
長久以來，針對標準的syslogd程式的效率，已經有很多爭議了。一個訊息傳送給syslogd，病不能保證訊息被真正的寫道日誌中，另外，他的寫的速度並不快。
下面是slogger遵循的幾個條件：
1、 每一條訊息都有時間戳，時間戳被附加到訊息中。
2、 每一條訊息都要對關鍵字aler：或者warning:進行檢查。如果其中有一個出現了，就為訊息選定一個適當的優先順序水平。
3、 訊息中的不可列印的字元被轉換成問號（？）。
4、 不記錄空白行。
5、 超過800個字元的訊息被分割成800個字元的多行訊息。分割的行在時間戳後用一個加號標識。
針對以上，qmail的創始人dan bernstein開發了splogger程式，它包含在qmail軟體包中。
用它來替代系統的syslog.是用splogger程式作為日誌程式，將qmail記錄重新定向給splogger程式，在將記錄轉發給linux的syslog程式。Mail日誌的位置取決於/etc/syslog.conf檔案設定的值，在上面我們詳細將過了怎樣設定。
6.2.2 讀qmail日誌
一旦訊息被記錄，就應該監控記錄以發現問題。下面看一個qmail的mail日誌檔案（表15）：
-------------------------------------------------------------------------------------
1、 Apr 11 02:02:18 mail qmail : 955436538.813320 new msg 18995
2、 Apr 11 02:02:18 mail qmail : 955436538.815787 info msg 18995: byte 603 from <
3、 Apr 11 02:02:18 mail qmail : 955436538.892499 starting delivery 103: msg 18995 to local [email protected]
4、 Apr 11 02:02:18 mail qmail : 955436538.895936 status: local 1/10 remote 0/20
5、 Apr 11 02:02:19 mail qmail : 955436539.075785 delivery 103: success:did_0+1+0/qp-26976/
6、 Apr 11 02:02:19 mail qmail : 955436539.098222 status: local 0/10 remote 0/20
7、 Apr 11 02:02:19 mail qmail : 955436539.100838 end msg 18995
-----------------------------------------------------------------------------------
第一行給出了接收這條新訊息的qmail日誌。
第二行使用傳送者以及訊息的大小標識訊息。
第三行表示qmail正在初始化傳送。
第四行給出了qmail的狀態。顯示出郵件佇列中只有一條訊息在等待發送。
第五行表明成功將訊息傳送給本地使用者。
正如以上看到，qmail項可能看起來令人疑惑，他有6種類型的qmail日誌訊息：
1、 狀態
2、 致命問題
3、 嚴重問題
4、 訊息
5、 傳送項
6、 警告
下面我們將逐一介紹qmail的日誌型別。
6.2.3 狀態訊息
狀態訊息記錄了伺服器上的操作。一條狀態訊息的格式如下：
status：local n/L remote r/R
其中n/L為佇列中的本地訊息數量(n) 以及本地郵件佇列的大小(L)。r/R是佇列中的遠端訊息的數量(r)以及遠端郵件佇列的大小。如（表15）中的第四行。如果你注意到佇列頻繁的被訊息填滿，你就有可能要改變郵件佇列的大小了。可以通過更改qmail的控制檔案，來實現。在《qmail管理維護（三）系統配置》中我們講過。
6.2.4 致命問題
致命問題是那些導致qmail異常終止和停止執行的問題，應該馬上處理你的mail server。
Qmail致命問題日誌訊息（表16）
----------------------------------------------------------------------------------
訊息 描述
-----------------------------------------------------------------------------------
alert：can not start qmail-send不能初始化來進行啟動。通常這是一個配置檔案問題的徵兆
alert：oh no! lost 一個支援後臺的程式，例如：qmail-lspawn or qmail-rspawn已經死掉，因此qmail-send將關閉。
---------------------------------------------------------------------------------
6.2.5 嚴重問題
有嚴重問題的紀錄，就是qmail不能處理一個特定的事件但會重試。嚴重問題不會qmail
停止執行，但如果持續出現，可能會導致一個致命問題出現，使qmail關閉。如下：
qmail嚴重問題日誌（表16）
-------------------------------------------------------------------------------------
訊息 描述
------------------------------------------------------------------------------------
alert: unable to append bounce message qmail-send不能處理一個永久的傳送失敗，通
常是沒有硬碟空間了。
alert: out of memory qmail-send 試圖分配記憶體，但是失敗了
alert: unable to opendir qmail-send不能從硬碟開啟一個檔案列表，因
為許可權不夠，或描述符表已滿。
alert: unable to switch back qmail-send收到一個sighup訊號，但不能讀佇列目錄。
alert: unable to reread qmail-send收到一個sighup訊號，但不能讀控制目錄。
------------------------------------------------------------------------------
6.2.6 qmail訊息
qmail為進入和退出qmail系統的每一條訊息建立了一個日誌紀錄。這些日誌記錄是基每
一條訊息指定一個標號。下面是一些可能出現的訊息日誌項（表17）
-----------------------------------------------------------------------------
訊息 描述
-------------------------------------------------------------------------------
new msg m qmail-send正在處理郵件佇列中的訊息號為m
info msg m: bytes b from <s>; qp q uid u 訊息m包含了b個位元組，來自發送者s,被使用者ID u排隊，佇列識別符號為q。
bounce msg m qp q 訊息m傳送失敗。返回訊息的佇列識別符號為q。
triple bounce: discarding m 訊息m被標識成不能傳送的兩次返回訊息，
將被刪除。
end msg m 訊息m正被從佇列中除去。
-----------------------------------------------------------------------------------
6.2.7 傳送項
當qmail-send試圖傳送一條訊息，必須將一條狀態訊息紀錄到日誌中。下面給出了可能的
傳送項日誌訊息。Qmail傳送日誌項（表18）
-------------------------------------------------------------------------------------
訊息 描述
------------------------------------------------------------------------------------
starting delivery d: msg m to qmail-send正在處理一個髮送訊息m，傳送ID為d。
delivery d: success 傳送項d被成功的傳送給接收方。
delivery d: deferral 傳送項d遇到一個暫時的傳送失敗，將重試。
delivery d: failure 傳送項d遇到一個永久失敗，訊息將返回。
delivery d: report mangled will defer 傳送項d在qmail-rspawn 或qmail-lspawn中遇到問題，將重試。
-------------------------------------------------------------------------------------
6.2.8 警告
當在處理郵件中遇到錯誤，qmail將做為警告記錄到日誌中。警告表示了qmail能解決的
暫時性問題。但是，警告可能是一個在問題的前兆。下面是一些qmail的警告訊息（表19）
----------------------------------------------------------------------------------
訊息 描述
-----------------------------------------------------------------------------------
internal error: delivery report out of range qmail-lspawn或qmail-rspawn為一個不存在的傳送項ID返回了一個傳送報告。
qmail-clean unable to clean up qmail-clean不能刪除一個檔案。
trouble fsyncing qmail-send不能重寫磁碟。
trouble in select 一個可能的作業系統錯誤。
trouble injecting bounce message qmail-send不能排隊一個返回訊息。
trouble marking qmail-send不能記錄一次傳送不成功的結果。
trouble opening qmail-send不能開啟本地和遠端接收者的列表。
trouble reading qmail-send不能讀收者的列表。
trouble writing to qmail-send不能處理一條列表中的訊息。
trouble to create qmail-send不能處理一條列表中的訊息。
unable to open qmail-send不能讀一條排隊訊息中的信件頭。
unable to start qmail-queue qmail-queue qmail-send不能排隊一條返回訊息。
unable to stat qmail-send不能得到有關一個檔案的訊息。
unable to unlink qmail-send不能刪除一個檔案。
unable to utime qmail-send不能紀錄下一次排程傳送時間。
unknown record type in qmail-send或qmail-queue中的一個嚴重的錯誤。
----------------------------------------------------------------------------------
6.2.9 日誌管理工具
qmail日誌檔案是狀態訊息，傳送訊息、問題訊息的一個複雜體。通過察看日誌，能縮小
和發現問題所在。對於看大量的日誌檔案，非常煩惱。可以藉助於一些日誌工具，來減小工
作量。
常用的工具有Dan Bernstein開發的qmailanalog。
Web站點http://cr.yp.to/qmailanalog.html 。他的實用程式是matchup、xrecipient、xsender工具。
第二個是daemontooks軟體，他的multlog工具是一個不錯的選擇。用它來替代unix的
logger程式。他的web站點：http://cr.yp.to/daemontools/daemontools.html。有興趣，大家可
以看看。
小結;
其實，問題是多種多樣的，各個方面的。通過對日誌很好的分析，可以幫助大家找出問
題和預防事故。這裡只是一個簡單介紹，日誌和問題出現的情況，還有退信資訊等等結合起
來，會更好的發現問題的原因，從而解決問題。當然，日誌也不是絕對的，具體情況，要具
體分析了。
關於本文擋的宣告
這份文件，是我參考了大量的網友的文章和書籍而寫成的。自己經過反覆安裝和測試，均安裝成功。但由於本人水平有限，文件難免有一些遺漏。如果你在安裝的時候發現有什麼地方有錯誤的話，請去www.chinaunix.net 的mail論壇討論，我儘快回覆的。
對於這片文件，網友可以任意轉貼。但出於對作者的尊重，轉貼時請註明原作者姓名。
相關推薦
qmail郵件系統（六）qmail的日誌和管理
前面幾篇介紹了一個unix上安裝了qmail，做完所有的配置工作，你可能以為工作就要告一段落了。不幸的是，工作剛剛開始。相對於安裝和配置，真正讓人反感的是管理和對錯誤地發現和解決。下面我們講一下通過日誌，來判斷分析系統和qmail是否正常，來發現解決問題。在這裡，我們分系統日誌和qmail日誌兩部分來講。講一
LAMP+Postfix+Dovecot+Postfixadmin搭建郵件管理系統（六）
接上期，我們部署完了Postfix服務，下面開始部署Dovecot服務。 七、部署Dovecot服務 1、下載dovecot安裝包 [[email protected] ~]# wget -c
PHP系統（六）PHP正則表達式
php正則php正則表達式 正則表達式是一種描述字符串結果的語法規則，是一個特定的格式化模式，可以匹配、替換、截取匹配的字符串。常用的語言基本上都有正則表達式，如JavaScript、java等。其實，只有了解一種語言的正則使用，其他語言的正則使用起來，就相對簡單些。文本主要圍繞解決下面問題展開
Azure雲部署Postfix郵件系統（一）
安全機制 變量賦值 分享圖片 car 帶來 核心部分 相同 nco 容易 簡介毫無疑問，雲計算是今年和今後幾年IT界最重要的概念之一，而隨著雲的提出，各種應用也不斷出現，在雲計算領域，各大著名IT廠商都推出自己的特有“雲”。在一個新技術的探索階段，在雲計算的模式最終成熟之前
Postfix郵件系統（+dovecat）
star ati red interface 開啟 安裝 發送 從域名服務器 swd 郵件服務器是一種用來負責電子郵件收發管理的設備。它比網絡上的免費郵箱更安全和高效，因此一直是企業公司的必備設備。本次實驗是由DNS、postfix、dovecot服務共同組建成為郵
NodeJS簡易部落格系統（六）NodeJS入門學習（下）
一、網路程式設計 1、小試牛刀 NodeJS本來的用途是編寫高效能Web伺服器。首先在這裡重複一下官方文件裡的例子，使用NodeJS內建的http模組簡單實現一個HTTP伺服器。 var http = require('http'); http.createSe
機房系統（六）——【下機】
相對於上機來說，小編覺得下機還是有點兒難度的，在進行下機時，也是耗費了很長的時間。 在機房收費系統中，涉及到下機的，有三部分：首先是主介面上的下機，其次是操作員的所有學生下機和部分學生下機。這些部分的主要功能就是，實現上機使
大資料離線---網站日誌流量分析系統（2）---資料獲取和預處理
本次接上一篇，進行實際資料的獲取和預處理，會有較多的程式碼內容 資料的獲取 資料的預處理 資料的獲取 需求 資料採集的需求廣義上來說分為兩大部分。 是在頁面採集使用者的訪問行為，具體開發工作： 1、 開發頁面埋點 js，採集使用者訪問行為 2、 後臺接受
Spring Boot + Spring Cloud 構建微服務系統（六）：熔斷監控叢集（Turbine）
Spring Cloud Turbine 上一章我們集成了Hystrix Dashboard，使用Hystrix Dashboard可以看到單個應用內的服務資訊，顯然這是不夠的，我們還需要一個工具能讓我們彙總系統內多個服務的資料並顯示到Hystrix Dashboard上，這個工具就是Turbine。 新增依
整合SpringMVC框架+Mybatis框架開發人力資源管理系統（六）
業務邏輯元件HrmService介面的實現 業務邏輯元件的實現需要依賴於DAO元件，在HrmService介面中針對需要操作的六個實體（User、Employee、Job、Dept、Notice、Document）設計了不一樣的業務方法（CRUD），每個方法又會呼叫DAO元件中的一個或多
lamp（六）——訪問日誌更多配置
11.22 訪問日誌不記錄靜態檔案 11.23 訪問日誌切割 11.24 靜態元素過期時間 遮蔽一些元素記錄到日誌 網站大多元素為靜態檔案，如圖片、css、js等，訪問一個頁面可能記錄一堆日誌。這樣即不方便檢視日誌，也造成日誌佔磁碟空間。這些元素可以不用記錄。把
Android6.0 顯示系統（六） 影象的輸出過程
上篇部落格分析到SurfaceFlinger收到了VSync訊號後，呼叫了handleMessageRefresh函式，這篇部落格主要就是分析這個函式，我們先看看它的程式碼： void SurfaceFlinger::handleMessageRef
自頂向下分析一個簡單的語音識別系統（六）
上回分析了run_model函式的configuration過程，其中load_placeholder_into_network函式用於構建該語音識別系統中RNN網路的基本結構，本回將分析以下該網路。 1.RNN簡介 人們並不是從每秒鐘他接收到的資訊開始
C語言構建WEB管理系統（六）：使用XMLHttpRequest物件和服務端交換資料
以登入頁面為例，當我們提交登入頁面表單時，將登入使用者名稱和登入密碼傳送到伺服器，這個時候我們肯定希望伺服器可以返回提交的使用者名稱和密碼是否正確的資訊。如果錯誤給出提示資訊以便重新輸入，正確則頁面給出提示或跳轉到指定頁面。這是就需要前端和伺服器端可以同步
資料庫系統（六）---MySQL語句及儲存過程
一、DDL、DML、DCL常用語句 1、DDL（Data Definition Language）資料庫定義語言 （1）資料庫模式定義 #建立資料庫 create database if exsites db_name; #選定資料庫 use db_name; #刪除資料庫 drop d
線程學習--（六）單例和多線程、ThreadLocal
pen single cal final ride args ash public 線程 一、ThreadLocal 使用wait/notify方式實現的線程安全，性能將受到很大影響。解決方案是用空間換時間，不用鎖也能實現線程安全。 來看一個小例子，在線程內的set、get
Linux命令（六）——軟件包管理（安裝應用程序）
clean 安裝應用 16px windows安裝 後綴 version 管理 臨時文件 都是 與windows安裝各種應用程序相似，在linux下也可以安裝各種需要的應用程序，通常稱為軟件包。目前，在linux系統下常見的軟件包格式主要有：RPM包、TAR包、bz2包、g
Linux用戶管理（六）Linux磁盤管理
linux磁盤管理Linux磁盤管理一．硬盤分區1．外部存儲器的表示方法（1）硬盤l IDE /dev/hdxyl SCSI/USB /dev/sdxy（2）軟盤（/dev/fdx）（3）CD-ROM（/dev/cdrom）2．fdisk分區工具的使用(1) fdisk的啟動方法#fdi
Elasticsearch學習筆記（六）核心概念和分片shard機制
服務器 存儲 play wid 讀寫 number 容錯 組成 操作 一、核心概念 1、近實時（Near Realtime NRT） （1）從寫入數據到數據可以被搜索到有一個小延遲（大概1秒）； （2）基於es執行搜索和分析可以達到秒級
08-Linux基礎入門（六）-文件和目錄的屬性及權限之文件類型、文件擴展名及文件權限基礎
ins tmp first 串口 .py 都是 公眾平臺 cond .com 一、Linux中的文件類型在Linux系統中，可以說一切（包括目錄、普通文件、設備文件等）皆為文件。文件類型包含有普通文件、目錄、字符設備文件、設備文件、符號鏈接文件、管道文件等等，當執行ls