单机箱系统上的系统日志记录

要记录或查看系统日志消息，必须在层次结构级别包含[edit system]语句syslog。至少为消息指定一个目标，如中所述 表 1。有关配置语句的详细信息，请参阅 单机箱系统日志记录配置概述。

[edit system syslog]
file filename {
    facility severity;
}

[edit system syslog]
user (username | *) {
    facility severity;
}

[edit system syslog]
console {
    facility severity;
}

[edit system syslog]
host (hostname | other-routing-engine) {
    facility severity;
}

您可以以结构化数据格式（而不是标准 Junos OS 格式）将消息记录到文件中。结构化数据格式提供了更多信息，而无需增加大量长度，并使自动化应用程序更容易从消息中提取信息。

结构化数据格式符合互联网标准 RFC 5424，即 系统日志协议，该协议位于 https://tools.ietf.org/html/rfc5424。RFC 建立标准消息格式，而不考虑记录消息的源或传输协议。

要将消息以结构化数据格式输出到文件，请在层次结构级别包含structured-data[edit system syslog file filename]语句：

可选 brief 语句禁止显示默认情况下显示在消息末尾的英语文本，用于描述错误或事件。

结构化格式用于记录到文件中由 Junos 进程或软件库生成的所有消息。

为防止日志文件过大，默认情况下，Junos OS 系统日志记录实用程序会将消息写入定义大小的一系列文件。序列中的文件称为 存档 文件，以将它们与当前正在写入消息 的活动文件区 分开来。默认最大大小取决于平台类型：

• 128 KB（适用于 EX 系列交换机）

• 1 兆字节 （MB），适用于 M 系列、MX 系列和 T 系列路由器

• 10 MB，用于 TX Matrix 或 TX Matrix Plus 路由器

• 1 MB 用于 QFX 系列

当调用 logfile 的活动日志文件达到最大大小时，日志记录实用程序将关闭该文件，对其进行压缩，并将压缩的归档文件 logfile.0.gz命名为 。然后，日志记录实用程序将打开并写入名为 logfile的新活动文件。此过程也称为文件轮换。当 new logfile 达到配置的最大大小时， logfile.0.gz 将重命名 logfile.1.gz，并且关闭 logfile 、压缩和重命名 logfile.0.gz新的 。缺省情况下，日志记录实用程序以这种方式创建最多 10 个归档文件。当达到最大存档文件数且活动文件的大小达到配置的最大大小时，当前活动文件将覆盖最后一个存档文件的内容。默认情况下，日志记录实用程序还将可读取日志文件的用户限制为 root 具有 Junos OS maintenance 权限的用户和用户。

Junos OS 提供了一个配置语句 log-rotate-frequency ，通过配置检查日志文件大小的时间间隔来配置系统日志文件轮换频率。频率可以设置为 1 分钟到 59 分钟的值。默认频率为 15 分钟。

要配置日志轮换频率，请在层次结构级别包含 log-rotate-frequency 语句 [edit system syslog] 。

您可以包含语句来 archive 更改每个文件的最大大小、创建的存档文件数以及谁可以读取日志文件。

要配置适用于所有日志文件的值，请在层次结构级别包含 archive 语句 [edit system syslog] ：

要配置适用于特定日志文件的值，请在层次结构级别包含 archive 语句 [edit system syslog file filename] ：

archive-sites site-name 指定要用于存储文件的存档站点的列表。该 site-name 值是指向目标的任何有效 FTP URL。如果配置了多个站点名称，则会创建系统日志文件的存档站点列表。存档文件时，路由器或交换机会尝试将文件传输到列表中的第一个 URL，仅当传输不成功时才移动到下一个站点。日志文件以指定的日志文件名存储在存档站点上。有关如何指定有效 FTP URL 的信息，请参阅 在 Junos OS CLI 命令中指定文件名和 URL 的格式。

binary-data 将文件标记为包含二进制数据。这允许正确存档二进制文件，例如 WTMP 文件（基于 UNIX 的系统的登录记录）。若要恢复默认设置，请包含 no-binary-data 语句。

files number 指定在覆盖最旧的文件之前要创建的文件数。该值可以是 1 到 1000。

size size 指定每个文件的最大大小。该值可以从 64 KB （64k） 到 1 千兆字节 （1g）;若要表示兆字节，请在整数后使用字母 m 。数字与 k、 m或 g 单位字母之间没有空格。

start-time "YYYY-MM-DD.hh:mm" 定义将活动日志文件一次性传输到语句指定的 archive-sites 站点列表中的第一个可访问站点的本地时区日期和时间。

transfer-interval interval 定义当前日志文件在关闭并传输到存档站点之前保持打开状态（即使它未达到最大可能大小）并接收新统计信息的时间量。此间隔值可以是 5 到 2880 分钟。

world-readable 使所有用户都能读取日志文件。要恢复默认权限，请包含该 no-world-readable 语句。

消息的设施和严重性级别统称为其 优先级。默认情况下，以标准 Junos OS 格式记录的消息不包含有关优先级的信息。要在定向到文件的标准格式消息中包含优先级信息，请在层次结构级别包含 explicit-priority 语句 [edit system syslog file filename] ：

要在定向到远程计算机或其他路由引擎的消息中包含优先级信息，请在层次结构级别包含 explicit-priority 语句 [edit system syslog host (hostname | other-routing-engine)] ：

消息中记录的优先级始终指示原始的本地设施名称。如果定向到远程目标的消息包含该 facility-override 语句，则在将消息定向到远程目标时，Junos OS 系统日志记录实用程序仍会使用消息本身的备用设施名称。有关更多信息，请参阅 更改定向到远程目标的系统日志消息的备用设施名称。

explicit-priority包含语句时，Junos OS 日志记录实用程序会将设施名称和严重性级别的代码附加到消息标记名称（如果消息包含）：

（标记是分配给某些 Junos OS 系统日志消息的唯一标识符。）

在以下示例中， CHASSISD_PARSE_COMPLETE 消息属于 daemon 设施，并分配了严重性 info （6）：

如果未包含该 explicit-priority 语句，则优先级不会出现在消息中：

默认情况下，标准格式系统日志消息中记录的时间戳指定记录消息时的月份、日期、小时、分钟和秒，如以下示例所示：

要在时间戳中包含年份和/或毫秒，请在 或 [edit security log] 层次结构级别包含time-format[edit system syslog]语句：

但是，默认情况下，traceoption 消息的时间戳以毫秒为单位指定，并且与语句无关 [edit system syslog time-format] 。

修改后的时间戳用于定向到层次结构级别上[edit system syslog]由 、 console或user语句配置file的每个目标的消息，但不用于定向到语句配置host的目标的消息。

以下示例说明了同时包含毫秒 （401） 和年份 （2006） 的时间戳的格式：

预定义的设施将相关消息组合在一起，但您也可以将消息与字符串和正则表达式进行匹配，以优化将设施中的哪些消息记录到文件、用户终端或远程目标中。

通过 and match 配置语句，match-strings可以分别将系统日志消息与字符串或正则表达式进行匹配。您可以在以下层次结构级别包含这些语句：

• [edit system syslog file filename] （对于文件）

• [edit system syslog user (username | *)] （对于特定用户会话或终端上的所有用户会话）

• [edit system syslog host (hostname | other-routing-engine)] （对于远程目标）

要根据正则表达式评估消息并仅将匹配的消息记录到给定目标，请包含 match 该语句并指定正则表达式：

从 Junos OS 16.1 版开始，您可以使用简单的字符串比较来更有效地过滤消息，因为它比匹配复杂的正则表达式占用的 CPU 更少。要指定消息中必须显示的文本字符串，以便将消息记录到目标，请包含 match-strings 该语句并指定匹配的字符串或字符串列表：

match-strings和match语句选择具有与给定字符串或正则表达式匹配的已配置设施和严重性的消息。该 match-strings 语句执行简单的字符串比较，因此，与使用该语句与 match 复杂的正则表达式匹配相比，它的 CPU 密集度更低。如果为同一目标同时配置 and matchmatch-strings 语句，Junos OS 将 match-strings 首先评估条件;如果消息包含任何已配置的子字符串，则会记录消息，但不 match 评估条件。match-strings如果不满足条件，则系统会根据配置语句中的match正则表达式计算消息。

为 match 语句指定正则表达式时，请使用 POSIX 标准 1003.2 中定义的扩展（现代）UNIX 正则表达式的表示法。解释正则表达式语法超出了本文档的范围，但 POSIX 标准可从电气和电子工程师协会 （IEEE， http://www.ieee.org） 获得。

表 4 指定哪些字符与可在 match 语句中使用的某些正则表达式运算符匹配。在说明中，术语是指单个字母数字字符或括在方括号、括号或大括号中的一组字符。

使用字符串和正则表达式

过滤属于 interactive-commands 该工具的消息，将包含字符串 configure 的消息定向到 root 用户的终端：

当用户发出configure命令以进入配置模式时，用户终端上root会显示如下消息：

过滤属于设施且 daemon 严重性为 error 或更高的消息，将它们定向到文件 /var/log/process-errors。省略 SNMP 进程 （snmpd） 生成的消息，而是将它们定向到文件 /var/log/snmpd-errors：

要禁用属于特定设施的消息的日志记录，请在配置中包含该 facility none 语句。例如，当您要记录具有相同严重性级别且属于除少数设施之外的所有设施的消息时，此语句非常有用。您可以先包括该语句，然后再为 any severity 不想记录的每个设施包含一个语句，而不是为要记录的每个设施都包含语句 facility none 。例如，以下内容会将级别或更高级别的所有 error 消息记录到控制台，但来自 和 daemonkernel 设施的消息除外。来自这些设施的消息将改为记录到文件中 >/var/log/internals ：

将在本地路由平台上生成的错误级别或更高级别的所有消息记录到远程计算机上名为 的设施中local0：monitor.mycompany.com

配置位于加利福尼亚州的路由平台和位于纽约的路由平台，以将消息发送到名为 的 central-logger.mycompany.com单个远程计算机。来自加利福尼亚的消息被分配到替代设施 local0 点，来自纽约的消息被分配到替代设施 local2点。

• 配置加利福尼亚路由平台以聚合设施中的 local0 消息：

• 配置纽约路由平台以聚合设施中的 local2 消息：

然后 central-logger ，可以将系统日志记录实用程序配置为将消息从设施写入 local0 文件 california-config ，并将消息从设施写入 local2 文件 new-york-config。