在Linux系统中，日志数据主要包括三种类型：

• 内核及系统日志   ：   这种日志数据由系统服务rsyslog统一管理，根据其主配置文件/etc/rsyslog.conf中的设置决定将内核消息及各种系统程序消息记录到什么位置。

• 用户日志    ：    用与记录Linux系统用户登录及退出系统的相关信息，包括用户名、登录的终端、登录时间、来源主机、正在使用的进程操作等。

• 程序日志     ：    有些应用程序会选择由自己独立管理一份日志文件（而不是交给rsyslog服务管理），用于记录本程序运行过程中的各种事件消息。

Linux系统本身和大部分服务器程序的日志文件默认都放在目录/var/log/下，一部分程序公用一个日志文件，一部分程序使用单个日志文件，而有些大型服务器程序由于日志文件不止一个，所以会在/var/log/目录中建立相应的子目录存放日志文件。

常用的日志文件：

• /var/log/messages     :      记录Linux内核消息及各种应用程序的公共日志信息、包括启动、1/0错误、网络错误、程序故障等。

• /var/log/cron   :     记录crond计划任务产生的事件信息。

• /var/log/dmesg    :     记录Linux系统在引导过程中的各种事件信息。

• /var/log/maillog   :     记录进入或发出系统的电子邮件活动。

• /var/log/lastlog    :     记录每个用户最近的登录事件。

• /var/log/secure    :    记录用户认证相关的安全事件信息。

• /var/log/wtmp        :    记录每个用户登录、注销及系统启动和停机事件。

• /var/log/btmp    :     记录失败的、错误的登录尝试及验证事件。

       内核及系统日志功能主要由默认安装rsyslog软件包提供。rsyslog服务所使用的配置文件为/etc/rsyslog.conf。

         在Linux内核中，根据日志消息的重要程度不同，将其分为不同的优先级别（数字等级越小、优先级越高、消息越重要）

• 0 EMERG(紧急)     ：    会导致主机系统不可用的情况。

• 1 ALERT(警告)    ：    必须马上采取措施解决的问题。

• 2 CRIT(严重)    ：    比较严重的错误。

• 3 ERR(错误)    ：    运行出现错误。

• 4 WARNING(提醒)    ：    可能影响系统功能，需要提醒用户的重要事件。

• 5 NOTICE(注意)    ：   不会影响正常功能，但是需要注意的事件。

• 6 INFO(信息)    ：   一般信息。

• 7 DEBUG(调试)     ：      程序或系统调试信息等。

        内核及大多数系统消息都被记录到公共日志文件/var/log/messages中，而其他一些程序消息被记录到各自独立的日志文件中，此外日志消息还能够记录到特定的存储设备中，或者直接发送给指定用户。

       对于rsyslog服务统一管理的大部分日志文件，使用的日志记录格式基本上都相同。以公共日志/var/log/messages文件的记录格式，其中每一行表示一条日志消息，每一条消息都均包括以下四个字段。

• 时间标签   ：   消息发出的日期和时间。

• 主机名     ：   生成消息的计算机的名称。

• 子系统名称    ：   发出消息的应用程序的名称。

• 消息    ：    消息的具体内容。

       在Linux系统中，一部分应用程序 并没有使用rsyslog服务来管理日志，而是由程序自己维护日志记录。

出现以下一些注意现象

• 用户在非常规的时间登录，或者用户登录系统的IP地址和以往的不一样。

• 用户登录失败的日志记录，尤其是那些一再连续尝试进入失败的日志记录。

• 非法使用或不正当使用超级用户权限。

• 无故或者非法重新启动各项网络服务的记录。

• 不正常的日志记录，日志残缺不全，或者是wtmp这样的日志文件也缺少了中间的记录文件。

一、服务器常见故障和现象

1、有关服务器无法启动的主要原因 :

     ①市电或电源线故障(断电或接触不良)

     ②电源或电源模组故障

     ③内存故障(一般伴有报警声)

     ④CPU故障(一般也会有报警声)

     ⑤主板故障

     ⑥其它插卡造成中断冲突

二、服务器无法启动

     1、检查电源线和各种I/O接线是否连接正常。

     2、检查连接电源线后主板是否加电。

     3、将服务器设为最小配置(只接单颗cpu，最少的内存，只连接显示器和键盘)直接短接主板开关跳线，看看是否能够启动。

     4、检查电源，将所有的电源接口拔下，将电源的主板供电口的绿线和黑线短接，看看电源是否启动。

     5、如果判断电源正常，则需要用替换法来排除故障，替换法是在最小化配置下先由最容易替换的配件开始替换(内存、cpu、主板)

三、系统频繁重启 ?

1、造成系统频繁重启的原因：

     ①电源故障(替换法判断解决)

     ②内存故障(可从BIOS错误报告中查出)

     ③网络端口数据流量过大(工作压力过大)

     ④软件故障(更新或重装操作系统解决)

四、服务器死机故障判断处理：

服务器死机故障比较难以判断，一般分为软件和硬件两个方面。

1、第一方面-软件故障

     ①首先检查操作系统的系统日志，可以通过系统日志来判断部分造成死机的原因。

     ②电脑病毒的原因。

     ③系统软件的bug或漏洞造成的死机，这种故障需要在判断硬件无故障后做出，而且需要软件提供商提供帮助。

     ④软件使用不当或系统工作压力过大，可以请客户适当降低服务器的工作压力来看看是否能够解决

2、第二方面-硬件故障

     ①硬件冲突

     ②电源故障或电源供电不足，可以通过对比计算服务器电源所有的负载功率的值来作出判断。

     ③硬盘故障(通过扫描硬盘表面来检查是否有坏道)

     ④内存故障(可以通过主板BIOS中的错误报告和操作系统的报错信息来判断)

     ⑤主板故障(使用替换法来判断)

     ⑥CPU故障(使用替换法)

     ⑦板卡故障(一般是SCSI/RAID卡或其他pci设备也有可能造成系统死机，可用替换法判断处理)

注意：系统死机故障需要在处理完后需要在一段时间内进行一定压力的拷机测试来尽一步检查故障是否彻底解决。

五、安装操作系统时提示找不到硬盘?

1、故障原因：

     无物理硬盘设备

     硬盘线缆连接问题

     没有安装硬盘控制器驱动或驱动不相符

六、如何获得驱动程序?

     1、使用随机光盘制作相应驱动

七、为什么用正确的驱动仍然无法加载硬盘控制器驱动?

     1、查看是否启用了hostraid功能。

八、新购买的一块硬盘，安装到机器上之后，机器自检无法通过?

     1、将新的硬盘取下，机器是否可以自检通过;

     2、检查新增加的硬盘的ID号是否与原来的硬盘的ID号相同，如果硬盘的ID号相同的话，自检将无法通过。

九、如何格式化SCSI硬盘?

     1、有操作系统的情况：使用磁盘管理工具格式化;

     2、无操作系统的情况：在SCSI管理控制界面格式化;

     3、以ADAPTEC Raid卡为例：开机-出现CTRL+A 信息时，按CTRL+A进 入

          ①选中通道A

          ②选中SCSI UTILITY-将检测到硬盘-选中要检测的硬盘

          ③选中FORMAT可对硬盘进行全面格式化

          ④选中VERIFY可对硬盘进行检测，检查是否有坏道

          注意：在格式化硬盘时不能中断或停电，不然会损坏磁盘

十、在Aisino 系列中有RAID卡机器，当其中一个硬盘不能正常工作RAID报警，但系统能正常运行，怎么办?

          1、用一个新硬盘，确保容量大于或等于不能正常工作的硬盘，最好用相同型号的硬盘替换即可。

          2、RAID卡相关常见故障

          第一类： RAID卡本身有问题     

          ①经常表现为RAID信息丢失，硬盘经常掉线，不能做REBUILD，开机自检时检测不到硬盘或时间长。

典型故障A：作完RAID1，安装操作系统，一切正常，但第二次重启系统时，发出报警声，经检查发现一块硬盘掉线，REBUILD后，又恢复正常，但重启后又掉线。怀疑为硬盘故障，校验硬盘后均无问题。最后更换RAID卡，故障解决。

典型故障B：机器经常死机，且有时候启动速度非常慢。观察系统日志，发现在系统启动时有这样一个错误提示：设备/devices/scsi/port0 在传输等待的时间内没有响应。更换RAID卡后，恢复正常。

第二类： 硬盘本身问题

①表现为硬盘掉线，在RAID阵列中的状态为DEAD，或者在作REBUILD时，作到某一进度就不能继续

典型故障：硬盘掉线后，做REBUILD时，作到20%时出现错误提示无法继续进行。在确认掉线硬盘，硬盘盒及SCSI电缆都能正常工作后，对在线硬盘进行校验，发现有坏道，修复硬盘，重做REBUILD，恢复正常。

第三类： 硬盘盒或模组的接触问题

①此类问题经常表现为RAID卡根本检测不到硬盘，此类问题比较简单，但在处理硬盘盒相关机器时，需要注意一些问题。

典型故障：RIAD卡中检测不到硬盘，把SCSI电缆接到主板的ULTRA160接口上，故障依旧，拔出硬盘盒(不包括硬盘盒后面的托架)更换，故障依旧，更换硬盘，还是不行。最后卸下硬盘盒后面的托架(非热插拔部分)，发现后托架上80PIN接口上的一根针弯曲，校直弯针，恢复正常。

十一、在服务器上使用的SCSI硬盘，为什么硬盘的ID号不能设置为7?

1、SCSI控制器中，默认将ID=7设置为硬盘控制器占，所以硬盘的ID号不能设置为7

十二、为什么开机自检无法通过?

1、解决方法：

①机器切断电源，将机箱打开，用“COMS CLEAR”跳线的跳线帽将“COMS CLEAR”跳线的另外两个针短接(跳线参看主板说明书)

②机器加电，自检，等机器自检完闭，报CMOS已被清除，然后将机器电源关掉，把跳线复原即可

③机器重新开机

十三、物理内存插槽报错

1、解决方法：

①开机-按F2进入“SETUP”-“ADVANCED”–“MEMORY CONFIGURATION” 回车-“CLEAR DIMM ERRORS” 直接回车

十四 、远程桌面连接超出最大连接数

　　由于服务器默认为允许连接数为2个，如果登陆后忘记注销，而是直接关闭远程桌面的话，服务器识别此次登陆还是留在服务器端的。出现这种情况，最常见的就是重启服务器，但是，如果是高峰期，重启服务器带来的损失是显而易见的。那么此时，就可以利用mstsc/console指令进行强行登陆了。打开“运行”框，键入“mstsc/v:xxx.xxx.xxx.xxx(服务器IP)/console”，即可强行登陆到远程桌面了。

十五 、 系统端口隐患

　　对于服务器来说，首要保障稳定性和安全性。因此，我们仅需保证服务器最基本的功能即可，就像声卡都是默认禁止的。我们并不需要太多的功能，也不需要太多的端口支持。像一些不必要，而且风险较高的端口大可封掉。而一些必要的，又有风险的端口，比如:3389、80等端口，我们可以通过修改注册表的方法将其设置不特殊的秘密端口，这样服务器端口的安全隐患就不复存在了。

[root@localhost ~]# mkdir /backup
[root@localhost ~]# mount /dev/sda3 /backup/
[root@localhost ~]# dd if=/dev/sda of=/backup/sda.mbr.bak bs=512 count=1
记录了1+0 的读入
记录了1+0 的写出
512字节(512 B)已复制，0.00029813 秒，1.7 MB/秒

[root@localhost ~]# dd if=/dev/zero of=/dev/sda bs=512 count=1
记录了1+0 的读入
记录了1+0 的写出
512字节(512 B)已复制，0.00141057 秒，363 kB/秒

1. 内存不够2. 磁盘性能差3. SQL 问题 ------> 去数据库层，进一步排查 SQL 问题4. IO 出问题了（磁盘到临界了、Raid 设计不好、Raid 降级、锁、在单位时间内 TPS 过高）5. TPS 过高: 大量的小数据 IO、大量的全表扫描

大量小的 IO 写操作1. autocommit，产生大量小 IO。2. IO/PS,磁盘的一个定值，硬件出厂的时候，厂家定义的一个每秒最大的 IO 次数。
大量大的 IO 写操作1. SQL 问题的几率比较大。

1. 硬件不够了或 SQL 存在问题。

修改  /proc/sys/vm/swappiness 的内容改成 0 。

/etc/sysctl.conf 文件中添加 vm.swappiness=0 。