Qmail邮件系统日志和管理(1

　　摘要：Qmail是一个因特网邮件传送代理(简写为MTA)，它运行在linux/Unix兼容系统下，是一个直接代替UNIX下Sendmail软件的邮件传送程序。qmail使用SMTP协议与其它系统上的MTA交换邮件。那他的日志是怎么样管理和应用的，请看下文。

　　Qmail我用了一段时间，感觉还不错，由于安装和配置的麻烦，大家可以通过日志系统，来判断分析系统和qmail是否正常，来发现解决问题。

　　前面几篇介绍了一个unix上安装了qmail，做完所有的配置工作，你可能以为工作就要告一段落了。不幸的是，工作刚刚开始。相对于安装和配置，真正让人反感的是管理和对错误地发现和解决。下面我们讲一下通过日志，来判断分析系统和qmail是否正常，来发现解决问题。在这里，我们分系统日志和qmail日志两部分来讲。讲一下系统日志，因为主机系统安全是一切服务的基础，也是qmail日志的前提。

　　1系统日志

　　unix系统能够系统中发生的事件并将每一个事件的所有消息记录到系统的日志文件中。日志对于安全来说，非常重要，他记录了系统每天发生的各种各样的事情，你可以通过他来检查错误发生的原因，或者受到时者留下的痕迹。日志主要的功能有：审计和监测。他还可以实时的监测系统状态，监测和追踪侵入者等等。作为一个管理员，你应该每天至少扫描一遍日志，来系统或安全问题。在Linux系统中，有三个主要的日志子系统.

　　ping 192.168.1.11.1连接时间日志

　　连接时间日志--由多个程序执行，把纪录写入到/var/log/wtmp和/var/run/utmp，login等程序更新wtmp和utmp文件，使系统管理员能够谁在何时登录到系统。wtmp和utmp文件都是二进制文件，他们不能被诸如tail命令剪贴或合并(使用cat命令)。用户需要使用who、w、users、last和ac来使用这两个文件包含的信息。

　　who：who命令查询utmp文件并报告当前登录的每个用户。Who的缺省输出包括用户名、终端类型、登录日期及远程主机。例如：who(回车)显示(表1)

　　如果指明了wtmp文件名，则who命令查询所有以前的纪录。命令who/var/log/wtmp将报告自从wtmp文件创建或删改以来的每一次登录。

　　w：w命令查询utmp文件并显示当前系统中每个用户和它所运行的进程信息。例如：w(回车)显示(表2)：3:36pmup1

　　users：users用单独的一行打印出当前登录的用户，每个显示的用户名对应一个登录会话。如果一个用户有不止一个登录会话，那他的用户名将显示相同的次数。例如：users(回车)显示：chyanglewislewisylouynguoynguo

　　last：last命令往回搜索wtmp来显示自从文件第一次创建以来登录过的用户。例如(表3)：

　　如果指明了用户，那么last只报告该用户的近期活动，例如：lastynguo(回车)显示(表4)：

　　ac：ac命令根据当前的/var/log/wtmp文件中的登录进入和退出来报告用户连结的时间(小时)，如果不使用标志，则报告总的时间。例如：ac(回车)显示：total5177.47

　　ac-d(回车)显示每天的总的连结时间(表5)：

　　ac-p(回车)显示每个用户的总的连接时间(表6)：

　　lastlog：lastlog文件在每次有用户登录时被查询。可以使用lastlog命令来检查某特定用户上次登录的时间，并格式化输出上次登录日志/var/log/lastlog的内容。它根据UID排序显示登录名、端口号(tty)和上次登录时间。如果一个用户从未登录过，lastlog显示"Neverlogged。注意需要以root运行该命令，例如(表7)：

　　另外，可一加一些参数，例如，last-u102将报告UID为102的用户;last-t7表示上一周的报告。

　　1.2进程统计日志

　　进程统计--由系统内核执行。当一个进程终止时，为每个进程往进程统计文件(pacct或acct)中写一个纪录。进程统计的目的是为系统中的基本服务提供命令使用统计。

　　UNIX可以每个用户运行的每条命令，如果想知道昨晚弄乱了哪些重要的文件，进程统计子系统可以告诉你。它对还一个侵入者有帮助。与连接时间日志不同，进程统计子系统缺省不激活，它必须启动。在Linux系统中启动进程统计使用accton命令，必须用root身份来运行。Accton命令的形式acctonfile，file必须先存在。先使用touch命令来创建pacct文件：

　　一旦accton被激活，就可以使用lastcomm命令监测系统中任何时候执行的命令。若要关闭统计，可以使用不带任何参数的accton命令。

　　lastcomm命令报告以前执行的文件。不带参数时，lastcomm命令显示当前统计文件生命周期内纪录的所有命令的有关信息。包括命令名、用户、tty、命令花费的CPU时间和一个时间戳。如果系统有许多用户，输入则可能很长。下面的例子(表8)：

　　进程统计的一个问题是pacct文件可能增长的十分迅速。这时需要交互式的或经过cron机制运行sa命令来保持日志数据在系统控制内。sa命令报告、清理并进程统计文件。它能把/var/log/pacct中的信息压缩到摘要文件/var/log/savacct和/var/log/usracct中。这些摘要包含按命令名和用户名分类的系统统计数据。sa缺省情况下先读它们，然后读pacct文件，使报告能包含所有的可用信息。sa的输出有下面一些标记项(表9)：

　　avio--每次执行的平均I/O操作次数

　　cp--用户和系统时间总和，以分钟计

　　k--内核使用的平均CPU时间，以1k为单位

　　re--实时时间，以分钟计

　　s--系统时间，以分钟计

　　u--用户时间，以分钟计

　　用户还可以根据用户而不是命令来提供一个摘要报告。例如sa-m显示如下(表11)：