Linux journalctl 是什么

journalctl 是一个功能强大的工具，用于查询、查看和分析由 systemd-journald 收集的日志。它提供了多种选项来筛选、格式化和实时跟踪日志，使系统管理员能够有效地监控和排查系统及应用程序中的问题。systemd-journald 是 Systemd 的一个组件，负责捕获、存储和管理系统及应用程序的日志。与传统的日志系统（如 Syslog）不同，systemd-journald 记录日志的方式更加结构化和集成。

主要功能

• 集中管理日志：
  systemd-journald 捕获系统、服务和内核的日志信息，并将这些日志集中存储在系统日志中。这使得查看和管理日志变得更加方便。
• 结构化日志：
  日志被存储为二进制格式，而不是简单的文本格式。这种格式使得日志数据更加结构化，并允许高效的查询和过滤。
• 实时日志查看：
  journalctl 可以实时查看日志，类似于 tail -f 命令。这对于监控系统状态和调试应用程序非常有用。
• 支持丰富的查询选项：
  journalctl 支持按时间、服务、优先级等多种条件查询日志，使得查找特定事件或信息更加容易。
• 日志持久性：
  默认情况下，systemd-journald 将日志保存在内存中，如果系统重启，这些日志会丢失。通过配置，可以将日志持久化到磁盘，以便长期存储和分析。

核心概念

• 日志单元：日志条目包含信息，例如日志源、时间戳、日志级别、消息内容等。这些信息由 systemd-journald 收集并存储在系统日志中。
• 日志存储：
  临时存储：在 /run/log/journal/ 中。系统重启后，日志会丢失。
  持久存储：在 /var/log/journal/ 中。需要在 /etc/systemd/journald.conf 中配置，并且日志在系统重启后仍然存在。

常用命令和选项

journalctl  # 查看所有日志
journalctl -e  # 查看最新日志
journalctl --since today  # 查看今天的日志
journalctl --since "1 hour ago"  # 查看最近一小时的日志
journalctl --since "2024-07-30 00:00:00" --until "2024-07-30 23:59:59" # 查看特定时间段的日志

journalctl -u nginx  # 查看 nginx 服务的日志
journalctl -u nginx --since "1 hour ago"  # 查看 nginx 服务在最近一小时的日志

journalctl -k  # 查看内核日志

journalctl -p err  # 查看仅错误级别的日志
journalctl -p crit  # 查看高优先级的日志（例如，仅错误和紧急日志）

journalctl -f  # 实时查看日志（类似于 tail -f）
journalctl -u nginx -f  # 你可以结合 -u 选项实时查看特定服务的日志

journalctl | grep "keyword"  # 在日志中查找特定的关键词
journalctl --grep "keyword"  

日志存储：
日志存储位置由 /etc/systemd/journald.conf 配置文件控制。可以配置日志的持久性和存储大小。

[Journal]
Storage=persistent

修改配置文件后，需要重启 systemd-journald 服务以应用更改

sudo systemctl restart systemd-journald

日志轮转：
systemd-journald 支持日志轮转和压缩，可以通过配置文件中的选项进行调整，例如设置日志文件的最大大小和保留时间。