摘要： hen多人以为 Linux 日志就是 /var/log/，把这个目录打包走就算“日志备份”。但真实情况不是这样。Linux 上同时叠着 journaldrsyslog/syslogaudit 审计体系 和 应用自定义日志。Ru果不先分清“谁是日志服务、谁是查kan工具、谁是日志目录、谁是审计体系”，日志备份就hen容易变成一笔糊涂账。本文不讲轮转、不讲合规话术，只Zuo一件事：帮你先建立 Linux 日志系统的Zui小认知模型。

关键词： Linux、journald、rsyslog、auditd、/var/log/、日志备份

在hen多项目里尤其是信创、等保、审计、政企交付场景，经常会出现一句hen模糊的话：

服务器日志要备份。

这句话听上去没问题，但真正往下Zuo就会发现，它其实缺了hen多前提。

因为 Linux 上的“日志”不是一个单一对象。

它可Neng是：

所以问题不是“要不要备份日志”，而是：

你说的到底是哪一类日志？它是谁产生的？它落在哪里？它是不是Yi经落成文本文件了？

Ru果这些问题不先说清楚，那“日志备份”就hen容易变成一句正确但无效的话。

想把这件事搞明白，Zui好的办法不是一开始就背命令，而是先建立一张“谁是谁”的索引。

Ke以先把 Linux 日志系统压缩成下面这棵树：

Linux 日志系统 syslog = 传统日志接口 / 协议 / 体系 syslog = 应用写日志的 API syslogd = 老版 syslog 日志服务 rsyslog = 现代增强版 syslog 日志服务，主要写 /var/log/ 文本日志 journald = systemd 日志收集服务，写 journal 二进制日志 journalctl = 读取 journal 的工具 /var/log/ = 文本日志文件目录，不是服务 audit = Linux 内核安全审计子系统 auditd = 用户态审计服务，接收 audit 事件并写 audit.log 应用日志 = 应用程序自己写的业务日志 例如 nginx、mysql、业务服务自己的 log 目录

这张索引图Zui重要的价值，不是让你记定义，而是先分清楚这几个角色：

谁是日志来源？谁是日志服务？谁是查kan工具？谁是日志文件目录？谁是安全审计体系？

只要这几个角色不混，后面hen多事情dou会清楚hen多。

现代 Linux 系统里经常会同时存在 journald 和 rsyslog。

hen多人第一次接触日志系统时会疑惑：

既然Yi经有 journald 了为什么还有 rsyslog？

因为它们虽然dou“处理日志”，但定位不同。

它主要负责收：

dmesg 内核启动信息；

/dev/log 套接字；

/proc/self/fd/1 标准输出；

SYSLOG_FACILITY 接口来的消息；

按 facility/priority 分类；

决定哪些消息落盘到哪个文本文件；

/etc/rsyslog.conf 配置规则决定哪些消息怎么写到 /var/log/ 下的各个文件中。

所以Ke以把它理解成： rsyslog = 传统文本 日志 落盘和分类 服务 。 两者Zui容易记住的区别就是： journald 偏 “收集 + journal 存储 ” rsyslog 偏 “分类 + 文本 落盘 ” 。 它们不是同一个东西，也不是简单替代关系，而是两套历史体系叠在了一起。 说实话，你可NengYi经在想，为什么百度不收录我的文章呢？ 哈哈，那是因为你的标题可Neng不够吸引人，或者关键词优化没Zuo好。你得让搜索引擎知道，你的内容是有价值的。 咱就是说要不你试试优化一下标题和关键词？

hen多人一kan到 Linux 日志，脑子里第一反应就是： /var/log/ 。 这没错，但只对了一半。 geng准确的说法应该是： /var/log/ 是 日志 文件 目录 ， 不是 日志 服务 。 。 这个目录里的文件，可Neng来自不同

/etc/rsyslog.conf 配置的规则；

其他 syslog 相关配置；

甚至某些应用自己写的 log。

也就是说 /var/log/ geng像一个 “结果层 ”， 而不是 “系统本体 ”。 所以当你备份 /var/log/ 时你真正Zuo的只是： 备份这个目录下Yi经落盘的文本 日志 文件 。 这并不等于你Yi经完整理解了 Linux 的 日志 系统 。 这是 日志 系统 里一个非常常见的混淆点。 例如： /var/log/auth.log 里面通常会kan到登录认证相关信息。它一般属于 syslog 体系里的 auth/ authpriv 类别，通常由 rsyslog 分类写入。 所以本质上它还是 普通系统 日志 的一部分 不对不对，这块应该再展开讲讲audit.log的事儿…… 好继续吧。 . audit.log属于Linux安全审计体系，不只是普通系统 日志 ！ 而 /var/log/audit/audit.log 走的是另一条链路： 内核 audit 子系统 ↓ auditd ↓ /var/log/audit/audit.log 这里的关键点是 auditd 不是普通 日志 分类 服务 ，而是 安全 审计 服务 。 它geng关注的是 安全 事件 、 操作记录 、合规要求相关的信息。所以 auth.log = 普通认证相关 日志 audit.log = 安全 审计 日志 两者dou跟安全有关，但不是同一套机制。你懂的，它们一个侧重于系统消息，一个侧重于安全审计。害，这两个概念老容易混…… 应用自定义日记——Linux上Zui容易被忽略的存在！ 到这里Zui容易忽略的一件事是 Linux 上并不是所有日记dou一定经过 journald 、 rsyslog 或 auditd 。 hen多应用程序会直接自己写文件。也就是说你在系统里kan到的日记来源，至少分成两大类： 系统 级日记 journald     rsyslog     auditd 应用级日记     应用程序自己写的日记文件 这件事对 “日记备份 ”特别重要。因为Ru果你只盯着 系统日记 ，hen可Neng会漏掉Zui关键的业务日记。 hen多人一上来就问那到底该备份哪些日记？ Ru果你的目标只是先建立清晰认知，不讨论复杂策略，那Zui实用的答案其实hen简单 先按下面四类去认。比如 * System Journal  这类日记对应的是 journald 。你要先知道这台机器是否依赖 journal 保存关键 系统日记 ？ journal 是否持久化到磁盘？ * Syslog 文本  通常来自 rsyslog 和 系统 组件，Yi经落成文本文件，所以从 “备份对象 ”角度kan，它们是Zui直观的一类； * Audit Log  Ru果 系统启用了 audit ，那 /var/log/audit/audit.log 就不Neng和普通 系统日记混为一谈，属于 安全审计 范畴，无论语义还是后续使用目的，dou和普通 /var/log/auth.log 不一样； * AppLog  这类Zui容易漏，因为它们往往不长在统一的位置，也不一定受 系统日记 服务控制，所以kan到一台机器时除了 系统日记 路径，还要问一句这个业务自己把日记写到哪里了？ Ru果只从认知层讲，日记备份这件事Zui容易犯的错就是kan到 /var/log/ 就开始打包。但真正geng有用的顺序应该是 1. 先识别日记对象； 2. 再区分来源； 3. 再确认哪些需要被备份； 也就是说在你还没开始写脚本、配策略、Zuo合规动作之前，至少要先回答几个问题比如 * 这台机器的 系统日记 主要靠谁收？ * 有没有 Journal ？ * 有没有 Rsyslog 文本 ？ * 有没有 Audit Log ？ * 程序自己的 Log 在哪里？ 只要Neng回答清楚，你对 Linux 的认知就比只知道 /var/log/ 强hen多了！ Linux Log System复杂，不是因为概念难，而是因为它是几套机制叠在一起——syslog/rsyslog、systemd/journal、audit、APP自定义…… 所以真正有用的第一步，不是急着讨论怎么备份，而是先搞清楚这些角色各自干啥！ 只要搞清楚了以后再kan任何一台linux机器上的/var/logs/或其他路径下的东西，心里立刻就有数——哪些归哪类，该怎么管……然后再谈怎么设计合理的Log Backup方案也不迟嘛！