DHCP 日志分析
DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）是一种有效的IP 地址分配手段，现已经被广泛地应用在各种局域网管理。它能动态地向网络中每台计算机分配唯一的IP 地址，并提供安全、可靠、简单和统一的TCP/IP网络配置，确保不发生IP地址冲突。当在服务器上启用DHCP后，我们希望了解服务的运行情况，希望看到详细日志。可以通过下面的命令了解到dhcp server的日志文件在什么地方。以RHEL系统为例，命令如下：
#rpm –ql dhcp-server
DHCP服务的默认日志不会输出到指定文件，而是和NFS服务一样，输出到/var/log/messages文件中，成了日志的大杂烩，不便于分辨，也不便于查找故障，一旦messages文件遭到破坏，DHCP的日志也跟着受影响。
对于以上日志我们可以把在1.2节学到的脚本放到这里进行分析。还有没有其他什么文件，记录了DHCP的分配IP的信息呢？那就是/var/lib/dhcp/db/dhcpd.leases文件，它记录了客户机分配IP的详细信息。下面我们通过一个例子解读一下。
客户机每次获取地址后会产生如下信息：
Lease 192.168.150.207 {
Starts 12012/12/31 11:23:32
End 1 2012/12/31 11:25:32;
Tstp 1 2012/12/31 11:25:32;
Cltt 1 2012/12/31 11:25:32;
Bindingstate free;
Hardwareethernet 00:0c:29:51:b3:d9;
Uid“\001\000\014)Q\263\331”;
Client-hostname “linux-5jlv”;
}
每当发生租约变化的时候,都会在文件结尾添加新的租约记录，也就是说这个文件是在不断变化的。表1做出解释。
表1 DHCP日志含义
| 参数 |
含义 |
| Lease |
租用IP |
| starts |
开始时间 |
| end |
结束时间 |
| tstp |
指定租约过期时间 |
| cltt |
客户端续约时间 |
| Binding state |
租约绑定状态自由（free）、激活（active） |
| Hardware ethernet |
客户机网卡MAC地址 |
| UID |
客户端标识符由三位八进制表示用于与MAC匹配 |
| Client-hostname |
客户机名称 |
从上面分析看到，DHCP服务器的日志在messages和dhcpd.leases里分别有一部分都不全面，如何将DHCP的日志专门转储到特定文件中呢？下面介绍一种方法。
假设我们需要将日志记录在/var/log/目录下，我们先touch一个dhcp.log文件。
1）.创建dhcp.log文件
#touch /var/log/dhcp.log
#chmod 640 /var/log/dhcp.log
2）.修改/etc/dhcpd.conf配置文件，然后保存并退出。（注意不同Linux发行版配置文件路径有所不同）
log-facility local4;
3）.在/etc/rsyslog.conf文件中添加
Local4.* /var/log/dhcp.log
注意要把下面这行语句注销
Local4,local5.* -var/log/localmessages;RSYSLOG_TraditionalFileFormat
重启DHCP服务即可生效，这时的日志文件就是DHCP服务器出现故障后排除错误的一个重要基础数据。所以，我们还需要定期对这个日志文件作好备份工作。否则，当这个日志意外丢失后，我们就很难查清DHCP服务器的故障。
另外，对于Windows Server 平台DHCP日志，请参考http://support.microsoft.com/kb/298367/zh-cn。
更多日志分析精彩实战请参考《UNIX/Linux网络日志分析与流量监控》一书
本文转自 李晨光 51CTO博客，原文链接：http://blog.51cto.com/chenguang/1613732，如需转载请自行联系原作者
