日志系统（Linux系统上常用的日志系统）
操作系统运行过程当中会产生许多信息，这些信息既是我们观察系统运行过程当中正常的一种途径（手段、凭借），同时它也为我们提供了当发生故障时定位问题所在的必要信息。
事实上，任何操作系统都提供了日志系统，用于记录各子系统产生的各种信息。
日志系统定义一个日志信息要基于三种方式定义：
1、信息的详细程度：系统产生的信息不可能全部进行记录，因此记录信息的过程会有信息的详细程度。根据记录日志信息的详细程度不同，可将日志信息分级，称为日志级别（用于定义不同的日志信息的）。一般来讲，不同的日志系统支持的级别不同。在Linux系统上，日志级别通常有固定的几种。
2、子系统：facility（设施）
3、动作：在系统运行过程当中产生的信息该如何处理呢？是记录在文件中？还是发送至其它主机让其它主机记录？或者使用管道送给其他命令，让其它命令处理呢？
通常定义日志信息时，需要指明记录哪一个子系统、记录哪一个级别及此级别以上的信息以及信息的存储位置等。
鉴于操作系统上的程序自身都可以产生日志信息并将其记录到指定位置，但这些日志信息中定义的日志格式不尽相同。故Linux系统上统一创建了一个程序，负责统一记录各程序产生的日志信息。这就是syslog。
Linux上的日志系统：1、syslog
2、syslog-ng（ng（next generation，下一代），分为开源版和商业版）
在RedHat 5上使用的是syslog，而在RedHat 6上使用的是syslog-ng。syslog-ng作为syslog的升级版，其功能比syslog要大的多的多。事实上，在RedHat系列的系统上，syslog-ng和syslog使用的配置文件的格式比较接近，虽然事实上syslog-ng和syslog差别比较大。
syslog服务：
专门用来提供记录日志功能的。可以把每一个程序理解为子系统。
syslog有两个进程：
syslogd（sys：系统）：专门负责记录非内核的其它设施产生的日志；
klogd（k：内核）：专门负责记录内核产生的日志；
klogd所记录的日志的详细程度个syslogd有着巨大不同，所以它们所产生的日志格式相差太大，因为它们两个各自独立为一个日志系统。
系统启动过程中，BIOS将控制权交给kernel（内核实现初始化了，屏幕上会产生许多信息） --> 这些屏幕上的信息显示在物理终端上（物理终端对应的设备为/dev/console，而后来所看到的信息如给用户login登录时看到的信息为虚拟终端，ssh远程登录叫伪终端） --> 这些信息在RedHat系列的系统上会被记录到/var/log/dmesg（可使用cat /var/log/dmesg查看，或者使用dmesg命令查看（dmesg专门用来打开/var/log/dmesg文件并显示），这些信息都是启动init程序之前产生的信息） --> 系统控制权由内核转交给/sbin/init之后 --> 产生的信息由syslog记录（上面kernel产生的信息由klogd记录并放置于文件中）
syslogd记录的信息存放位置：
/var/log/messages：系统标准错误日志信息（大多数产生的错误信息都在其中）、非内核产生的引导信息（如系统初始化信息）、各子系统产生的信息。所以此文件是记录信息最多的，而且运行程序日积月累之后可能会变得越来越大的一个文件。当然，它会被多次进行滚动，以免一个文件变得过大。
/var/log/maillogs：邮件系统产生的信息；
/var/log/secure：与安全相关的信息；（权限要求严格（600权限），任何一个用户在登录时产生的登录信息，如账号密码输入是否有误、尝试登录过几次都在其中有记录）
日志滚动：
日志需要滚动，日志滚动的过程也叫日志切割。
比如第一个日志文件叫messages，过了两天这个文件变得非常大了，打开文件查看是非常消耗内存的，而且不便管理。所以每隔一段时间，将文件重命名（如：将messages重命名为messages.1），再重新创建一个文件叫messages。以此类推，下一次messages.1重命名为messages.2，message重命名为messages.1，再新建一个messages...
日志滚动可以按文件大小、也可以按时间（如：每周一次）或两个标准同时进行滚动。
logrotate：系统中进行日志滚动（切割）的工具
对于syslog，其对应的服务也叫syslog。