【linux】日志和journalctl 管理查看日志

bandaoyu

已于 2024-04-11 00:32:38 修改

阅读量1.6w

点赞数 5

文章标签： linux 运维服务器

于 2023-10-14 22:28:29 首次发布

本文链接：https://blog.csdn.net/bandaoyu/article/details/133833223

版权

本文介绍了Linux系统中的两种日志管理系统，即传统的/var/log和基于systemd的journald。重点讲解了journalctl命令及其各种用法，包括查看内核日志、应用日志、过滤和管理systemd日志。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

journald日志系统(systemd-journald)

dmesg 是一个工具,

journalctl是什么？（查看系统日志的工具）

区别的简单说明

journalctl -t 和 journalctl -u

/var/log/messages 和 systemd-journald

systemd日志（systemd-journald）放在哪个目录

`journalctl -h` 的输出

既看即用

CentOS 7 以后版，利用Systemd 统一管理所有 Unit 的启动日志。可以只用journalctl一个命令，查看所有日志（内核日志和应用日志）

常用命令

journalctl -xe # -x 是目录(catalog)的意思，在报错的信息下会，附加解决问题的网址 -e pager-end 从末尾开始看

从尾部开始看
journalctl -r # -r reverse ，加-r表示倒序从尾部看(推荐)

滚屏输出日志

journalctl -f
journalctl -f -n 20; # 和tail -f 一个性质

#查看指定时间的日志
journalctl --since="2017-10-30 18:10:30"
journalctl --since "20 min ago"
journalctl --since yesterday
journalctl --since "2017-01-10" --until "2017-01-11 03:00"
journalctl --since 09:00 --until "1 hour ago"

#只看内核日志（不显示应用日志）
journalctl -k

#查看系统本次启动的日志
journalctl -b
journalctl -b -0

#查看上一次启动的日志（需更改设置）
journalctl -b -1

某用户的日志
id root;
journalctl _UID=0 -n 5

#查看指定服务的日志
journalctl /usr/lib/systemd/systemd

#查看某个 Unit 的日志
journalctl -u nginx.service
journalctl -u httpd.service # -u service unit

#合并显示多个 Unit 的日志

journalctl -u nginx.service -u php-fpm.service --since today

：https://blog.csdn.net/enthan809882/article/details/104551777/

#只看标记为bash的日志
journalctl -t bash

查看进程的日志

#通过进程名
journalctl -t <进程名称>

#通过进程ID

journalctl -f _PID=2121462

查看http的日志
journalctl -thttpd
配合grep 过滤
journalctl |grep -E 'bash\[|\bsh\['

#查看指定优先级（及其以上级别）的日志，共有8级

0: emerg

1: alert

2: crit

3: err

4: warning

5: notice

6: info

7: debug

journalctl -p err -b2

#日志默认分页输出，–no-pager 改为正常的标准输出

journalctl --no-pager

#日志管理journalctl

#以 JSON 格式（单行）输出

journalctl -b -u nginx.service -o json

#以 JSON 格式（多行）输出，可读性更好

journalctl -b -u nginx.serviceqq -o json-pretty

空间管理

清空 /var/log/journal 文件的方法：https://www.jianshu.com/p/a30648913fe0

#显示日志占据的硬盘空间

journalctl --disk-usage

#指定日志文件占据的最大空间

journalctl --vacuum-size=1G

journalctl --vacuum-size=500M

#指定日志文件保存多久

journalctl --vacuum-time=1years #只保留近一年的日志
journalctl --vacuum-time=1w #只保留近一周的日志

journalctl --vacuum-time=2d #只保留近2天的日志

如果要手工删除日志文件，则在删除前需要先轮转一次journal日志
systemctl kill --kill-who=main --signal=SIGUSR2 systemd-journald.service
要启用日志限制持久化配置，可以修改 /etc/systemd/journald.conf
SystemMaxUse=16M
ForwardToSyslog=no
然后重启
systemctl restart systemd-journald.service
检查journal是否运行正常以及日志文件是否完整无损坏
journalctl --verify

日志的配置文件

/etc/systemd/journald.conf

简略介绍

linux 两种日志系统

journald日志系统 :

在采用 systemd 的 Linux 发行版中，系统日志通常通过 journald 来管理，并且存储在 systemd 的 journal 中

传统日志系统:

/var/log 目录下的文件中

/var/log 传统日志系统

/var/log 常见的日志类型包括：

/var/log/messages 系统启动后的信息和错误日志，几乎所有的开机系统发生的错误都会在此记录;（系统日志文件：组件的消息、警告、错误，记录更高级别的系统日志信息。包括系统服务的启动和停止信息、登录和权限问题、内核模块加载和卸载等信息。）

/var/log/secure 与安全相关的日志信息

/var/log/cron 与定时任务相关的日志信息

/var/log/spooler 与UUCP和news设备相关的日志信息

/var/log/boot.log 记录一些开机或者关机启动的一些服务显示的启动或者关闭的信息;

journald日志系统(systemd-journald)

`systemd-journald` 日志负责收集和管理整个系统的日志信息，包括内核消息、系统服务和用户级别的日志。这些日志通过 `systemd-journald` 存储为二进制格式，并位于 `/var/log/journal/` 目录下。

(journald 服务的日志通常保存在 /run/log/journal/ 目录下，但这个目录的内容可能会被清空。为了持久化保存 journal 日志，可以配置 journald 将日志转储到 /var/log/journal/ 目录下。)

总之,/var/log/*传统的文本日志文件，而 `systemd-journald` 是现代的二进制日志记录服务。与传统的日志文件相比，`systemd-journald` 提供了更强大、更灵活的日志管理和查询功能，同时还能够处理更多来源的日志信息。

dmesg 是一个工具,

dmesg 是一个工具,既不属于/var/log 传统日志系统 也不属于journald日志系统,dmesg 命令查看的内核消息可以被重定向或捕获到日志文件中，这取决于系统的配置和日志管理机制。

dmesg 启动内核产生的消息

dmesg 显示或控制内核环形缓冲区内容的,这些消息是在系统启动过程中产生的，但也可能是在系统运行过程中由内核生成的。

Linux系统中，内核产生的消息首先会被写入到内核环形缓冲区中。这些消息包括系统启动时的信息、设备驱动加载情况、硬件错误以及其他内核级别的活动。

为了持久化保存这些消息以供后续分析和调试，系统通常会配置日志守护进程来监听内核消息，并将其写入到日志文件中。这些日志文件通常位于/var/log目录下，例如/var/log/messages、/var/log/syslog或/var/log/kern.log等。具体的文件名和位置可能因不同的Linux发行版和日志配置而有所差异。

journalctl是什么？（查看系统日志的工具）

journalctl 是一个用于访问和管理 systemd 日志的命令行工具,可以查看和分析系统日志，以便诊断和解决问题。它可以提供有关服务、进程、启动过程和系统事件的详细信息。

systemd 日志默认存储在 `/var/log/journal/` 目录下。具体而言，系统的二进制日志文件存储在 `/var/log/journal/system.journal` 中。

在 `/var/log/journal/` 目录下，您还会找到其他文件和目录，包括：

- `system.journal~`：这是系统日志的旧版本备份文件，当系统进行日志轮转（log rotation）时，旧的 `system.journal` 文件会被重命名为此文件。

- `user` 目录：该目录包含每个用户的个人日志目录。每个用户的日志以其用户ID号命名，例如 `/var/log/journal/user/1000` 是用户ID为1000的用户的个人日志目录。

请注意，这些路径是默认设置，实际可能因为操作系统的配置和定制而有所不同。

区别的简单说明

journalctl -t 和 journalctl -u

-t范围更窄, -u范围更广,-u指定的服务其调用或启动的进程/资源都会列出来?

journalctl -t 和 journalctl -u 是 journalctl 命令的两个不同选项，用于过滤和查看 systemd journal 中的日志。它们之间的主要区别在于过滤日志的方式和目的。

journalctl -t [TAG]：
-t或--identifier` 选项允许你通过日志条目的标识符（通常是一个服务名或特定的日志标签）来过滤日志。使用这个选项，你可以查看特定服务或组件生成的日志条目。

例如，如果你想要查看与 SSH 服务相关的日志，你可以使用 journalctl -t sshd 命令。这将显示所有包含 sshd 标识符的日志条目。

journalctl -u [UNIT]：
-u或--unit` 选项允许你通过 systemd 的单元名称来过滤日志。systemd 单元可以是服务、套接字、设备、挂载点等。使用这个选项，你可以查看特定 systemd 单元在启动和运行期间产生的所有日志条目。

例如，如果你想要查看名为 nginx.service 的服务的日志，你可以使用 journalctl -u nginx.service 命令。这将显示与 nginx.service 单元相关的所有日志条目，包括其启动日志和运行时的日志。

总结：

journalctl -t 是基于日志条目的标识符来过滤日志的，通常用于查看特定服务或组件的日志。
journalctl -u 是基于 systemd 单元名称来过滤日志的，用于查看特定 systemd 单元（如服务）的日志，包括其启动和运行时的日志。

根据你的需要，你可以选择使用合适的选项来查看你感兴趣的日志。如果你知道你想要查看的服务的 systemd 单元名称，使用 -u 选项可能更直接。如果你只知道服务的名称或日志标签，使用 -t 选项可能更合适。

/var/log/messages 和 systemd-journald

/var/log/messages 和 systemd-journald 是两种不同的日志系统，它们各自有不同的特点和记录范围。

/var/log/messages 是传统的 Linux 系统日志文件，记录了系统运行时的各种状态消息，包括系统启动时的引导信息、IO 错误、网络错误和其他系统错误等。此外，它还记录了用户身份切换为 root 等安全相关信息。这个日志文件通常用于故障诊断和安全性分析。

systemd-journald 是 systemd 的一部分，提供了一种新的系统日志管理方式。它不仅收集来自内核、系统早期启动阶段的日志，还收集系统守护进程在启动和运行中的标准输出和错误信息。此外，它还能记录 syslog 的日志。systemd-journald 将日志集中保存在单一结构的日志文件中，并且由于日志是压缩和格式化的二进制数据，所以在查看和定位时非常迅速。然而，需要注意的是，systemd-journald 默认并不会持久化保存所有日志，只会保留一段时间的日志，具体保留时间取决于系统配置。

关于哪个记录更全，这取决于具体的系统配置和日志策略。传统的 /var/log/messages 文件记录了系统运行的广泛信息，但可能不包括 systemd 管理的服务的日志。而 systemd-journald 则能够记录更多类型的日志，包括内核日志、系统服务日志等，但它可能不会保存所有日志，特别是如果系统配置了日志轮循或清理策略。

因此，为了获得最全面的日志记录，可能需要同时查看 /var/log/messages 和 systemd-journald 的日志。同时，根据实际需求，管理员可以配置和调整日志记录策略，以确保捕获到所需的关键信息。