常用命令

journalctl -xe # -x 是目录(catalog)的意思，在报错的信息下会，附加解决问题的网址 -e pager-end 从末尾开始看

从尾部开始看
journalctl -r # -r reverse ，加-r表示倒序从尾部看(推荐)

滚屏输出日志

journalctl -f
journalctl -f -n 20; # 和tail -f 一个性质

#查看指定时间的日志
journalctl --since="2017-10-30 18:10:30"
journalctl --since "20 min ago"
journalctl --since yesterday
journalctl --since "2017-01-10" --until "2017-01-11 03:00"
journalctl --since 09:00 --until "1 hour ago"

#只看内核日志（不显示应用日志）
journalctl -k

#查看系统本次启动的日志
journalctl -b
journalctl -b -0

#查看上一次启动的日志（需更改设置）
journalctl -b -1

某用户的日志
id root;
journalctl _UID=0 -n 5

#查看指定服务的日志
journalctl /usr/lib/systemd/systemd

#查看某个 Unit 的日志
journalctl -u nginx.service
journalctl -u httpd.service # -u service unit

#合并显示多个 Unit 的日志

journalctl -u nginx.service -u php-fpm.service --since today

：https://blog.csdn.net/enthan809882/article/details/104551777/

#只看标记为bash的日志
journalctl -t bash

查看进程的日志

#通过进程名
journalctl -t <进程名称>

#通过进程ID

journalctl -f _PID=2121462

查看http的日志
journalctl -thttpd
配合grep 过滤
journalctl |grep -E 'bash\[|\bsh\['

#查看指定优先级（及其以上级别）的日志，共有8级

0: emerg

1: alert

2: crit

3: err

4: warning

5: notice

6: info

7: debug

journalctl -p err -b2

#日志默认分页输出，–no-pager 改为正常的标准输出

journalctl --no-pager

#日志管理journalctl

#以 JSON 格式（单行）输出

journalctl -b -u nginx.service -o json

#以 JSON 格式（多行）输出，可读性更好

journalctl -b -u nginx.serviceqq -o json-pretty

空间管理

清空 /var/log/journal 文件的方法：https://www.jianshu.com/p/a30648913fe0

#显示日志占据的硬盘空间

journalctl --disk-usage

#指定日志文件占据的最大空间

journalctl --vacuum-size=1G

journalctl --vacuum-size=500M

#指定日志文件保存多久

journalctl --vacuum-time=1years #只保留近一年的日志
journalctl --vacuum-time=1w #只保留近一周的日志

journalctl --vacuum-time=2d #只保留近2天的日志

如果要手工删除日志文件，则在删除前需要先轮转一次journal日志
systemctl kill --kill-who=main --signal=SIGUSR2 systemd-journald.service
要启用日志限制持久化配置，可以修改 /etc/systemd/journald.conf
SystemMaxUse=16M
ForwardToSyslog=no
然后重启
systemctl restart systemd-journald.service
检查journal是否运行正常以及日志文件是否完整无损坏
journalctl --verify

日志的配置文件

/etc/systemd/journald.conf

简略介绍

linux 两种日志系统

journald日志系统 :

在采用 systemd 的 Linux 发行版中，系统日志通常通过 journald 来管理，并且存储在 systemd 的 journal 中

传统日志系统:

/var/log 目录下的文件中

/var/log 传统日志系统

/var/log 常见的日志类型包括：

/var/log/messages 系统启动后的信息和错误日志，几乎所有的开机系统发生的错误都会在此记录;（系统日志文件：组件的消息、警告、错误，记录更高级别的系统日志信息。包括系统服务的启动和停止信息、登录和权限问题、内核模块加载和卸载等信息。）

/var/log/secure 与安全相关的日志信息

/var/log/cron 与定时任务相关的日志信息

/var/log/spooler 与UUCP和news设备相关的日志信息

/var/log/boot.log 记录一些开机或者关机启动的一些服务显示的启动或者关闭的信息;

journald日志系统(systemd-journald)

`systemd-journald` 日志负责收集和管理整个系统的日志信息，包括内核消息、系统服务和用户级别的日志。这些日志通过 `systemd-journald` 存储为二进制格式，并位于 `/var/log/journal/` 目录下。

(journald 服务的日志通常保存在 /run/log/journal/ 目录下，但这个目录的内容可能会被清空。为了持久化保存 journal 日志，可以配置 journald 将日志转储到 /var/log/journal/ 目录下。)

总之,/var/log/*传统的文本日志文件，而 `systemd-journald` 是现代的二进制日志记录服务。与传统的日志文件相比，`systemd-journald` 提供了更强大、更灵活的日志管理和查询功能，同时还能够处理更多来源的日志信息。

dmesg 是一个工具,

dmesg 是一个工具,既不属于/var/log 传统日志系统 也不属于journald日志系统,dmesg 命令查看的内核消息可以被重定向或捕获到日志文件中，这取决于系统的配置和日志管理机制。

dmesg 启动内核产生的消息

dmesg 显示或控制内核环形缓冲区内容的,这些消息是在系统启动过程中产生的，但也可能是在系统运行过程中由内核生成的。

Linux系统中，内核产生的消息首先会被写入到内核环形缓冲区中。这些消息包括系统启动时的信息、设备驱动加载情况、硬件错误以及其他内核级别的活动。

为了持久化保存这些消息以供后续分析和调试，系统通常会配置日志守护进程来监听内核消息，并将其写入到日志文件中。这些日志文件通常位于/var/log目录下，例如/var/log/messages、/var/log/syslog或/var/log/kern.log等。具体的文件名和位置可能因不同的Linux发行版和日志配置而有所差异。

journalctl是什么？（查看系统日志的工具）

journalctl 是一个用于访问和管理 systemd 日志的命令行工具,可以查看和分析系统日志，以便诊断和解决问题。它可以提供有关服务、进程、启动过程和系统事件的详细信息。

systemd 日志默认存储在 `/var/log/journal/` 目录下。具体而言，系统的二进制日志文件存储在 `/var/log/journal/system.journal` 中。

在 `/var/log/journal/` 目录下，您还会找到其他文件和目录，包括：

- `system.journal~`：这是系统日志的旧版本备份文件，当系统进行日志轮转（log rotation）时，旧的 `system.journal` 文件会被重命名为此文件。

- `user` 目录：该目录包含每个用户的个人日志目录。每个用户的日志以其用户ID号命名，例如 `/var/log/journal/user/1000` 是用户ID为1000的用户的个人日志目录。

请注意，这些路径是默认设置，实际可能因为操作系统的配置和定制而有所不同。

区别的简单说明

journalctl -t 和 journalctl -u

-t范围更窄, -u范围更广,-u指定的服务其调用或启动的进程/资源都会列出来?

journalctl -t 和 journalctl -u 是 journalctl 命令的两个不同选项，用于过滤和查看 systemd journal 中的日志。它们之间的主要区别在于过滤日志的方式和目的。

journalctl -t [TAG]：
-t或--identifier` 选项允许你通过日志条目的标识符（通常是一个服务名或特定的日志标签）来过滤日志。使用这个选项，你可以查看特定服务或组件生成的日志条目。

例如，如果你想要查看与 SSH 服务相关的日志，你可以使用 journalctl -t sshd 命令。这将显示所有包含 sshd 标识符的日志条目。

journalctl -u [UNIT]：
-u或--unit` 选项允许你通过 systemd 的单元名称来过滤日志。systemd 单元可以是服务、套接字、设备、挂载点等。使用这个选项，你可以查看特定 systemd 单元在启动和运行期间产生的所有日志条目。

例如，如果你想要查看名为 nginx.service 的服务的日志，你可以使用 journalctl -u nginx.service 命令。这将显示与 nginx.service 单元相关的所有日志条目，包括其启动日志和运行时的日志。

总结：

journalctl -t 是基于日志条目的标识符来过滤日志的，通常用于查看特定服务或组件的日志。
journalctl -u 是基于 systemd 单元名称来过滤日志的，用于查看特定 systemd 单元（如服务）的日志，包括其启动和运行时的日志。

根据你的需要，你可以选择使用合适的选项来查看你感兴趣的日志。如果你知道你想要查看的服务的 systemd 单元名称，使用 -u 选项可能更直接。如果你只知道服务的名称或日志标签，使用 -t 选项可能更合适。

/var/log/messages 和 systemd-journald

/var/log/messages 和 systemd-journald 是两种不同的日志系统，它们各自有不同的特点和记录范围。

/var/log/messages 是传统的 Linux 系统日志文件，记录了系统运行时的各种状态消息，包括系统启动时的引导信息、IO 错误、网络错误和其他系统错误等。此外，它还记录了用户身份切换为 root 等安全相关信息。这个日志文件通常用于故障诊断和安全性分析。

systemd-journald 是 systemd 的一部分，提供了一种新的系统日志管理方式。它不仅收集来自内核、系统早期启动阶段的日志，还收集系统守护进程在启动和运行中的标准输出和错误信息。此外，它还能记录 syslog 的日志。systemd-journald 将日志集中保存在单一结构的日志文件中，并且由于日志是压缩和格式化的二进制数据，所以在查看和定位时非常迅速。然而，需要注意的是，systemd-journald 默认并不会持久化保存所有日志，只会保留一段时间的日志，具体保留时间取决于系统配置。

关于哪个记录更全，这取决于具体的系统配置和日志策略。传统的 /var/log/messages 文件记录了系统运行的广泛信息，但可能不包括 systemd 管理的服务的日志。而 systemd-journald 则能够记录更多类型的日志，包括内核日志、系统服务日志等，但它可能不会保存所有日志，特别是如果系统配置了日志轮循或清理策略。

因此，为了获得最全面的日志记录，可能需要同时查看 /var/log/messages 和 systemd-journald 的日志。同时，根据实际需求，管理员可以配置和调整日志记录策略，以确保捕获到所需的关键信息。

systemd日志（systemd-journald）放在哪个目录

systemd 日志默认存储在 `/var/log/journal/` 目录下。具体而言，系统的二进制日志文件存储在 `/var/log/journal/system.journal` 中。

在 `/var/log/journal/` 目录下，您还会找到其他文件和目录，包括：

- `system.journal~`：这是系统日志的旧版本备份文件，当系统进行日志轮转（log rotation）时，旧的 `system.journal` 文件会被重命名为此文件。

请注意，这些路径是默认设置，实际可能因为操作系统的配置和定制而有所不同。

`journalctl -h` 的输出

```

journalctl [选项…] [过滤表达式]

查看 systemd 日志。

选项：

-h --help 显示此帮助信息并退出

--version 显示软件包版本信息

-a --all 显示所有可用的日志数据

-b --boot[=ID|±N] 显示引导 ID 或相对偏移引导的日志数据

-k --dmesg 显示内核日志

-c --cursor=CURSOR 使用指定的游标开始读取日志数据

-u --unit=UNIT 仅显示与单元/服务名称匹配的日志

此选项可多次使用

-g --grep=EXPR 搜索日志数据中匹配的表达式

--quiet 减少冗长的输出

--no-pager 不要使用分页器

--no-tail 不要 `tail -f` 跟踪新的日志条目

--output=FORMAT 设置日志输出格式

--verify 验证日志数据文件的完整性

--vacuum 清理/压缩日志存档

--disk-usage 显示磁盘使用情况

-D --directory=DIRECTORY 设置日志数据文件存储目录

-F --field=FIELD 仅显示具有指定字段的日志数据

-n --lines[=INTEGER] 设置要显示的日志行数

-r --reverse 反向显示日志条目

-e --pager-end 加载日志的末尾并定位到最新条目

-o --output-fields=FIELDS 设置要显示的字段列表

-f --follow 跟踪日志文件的变化

-t --identifier=SYSLOG_IDENTIFIER

仅显示包含给定标识符的日志条目

-p --priority=LEVEL 仅显示具有指定优先级的日志条目

-S --since[=TIMESTAMP] 显示在指定时间戳之后的日志

-U --until=TIMESTAMP 显示在指定时间戳之前的日志

--since-cursor=CURSOR 显示在指定游标之后的日志

--until-cursor=CURSOR 显示在指定游标之前的日志

-M --machine=CONTAINER 仅显示与给定容器匹配的日志

-N --not 在结果中反转条件

-r --system 显示系统日志

-r --user[=USER] 显示用户日志

-w --wall 当前 tty 上显示新的内核消息

--new-mode 在有新日志时进入新模式

--no-rate-limit 无条件显示所有日志数据

--no-pager-limit 显示所有条目，不受分页器限制

--no-full 不要进行完整性检查

--quiet 不要显示所有条目的详细信息

--no-pager-quiet 禁用详细信息的分页输出

--verify-key=keyid/subdesc 验证已签名的日志数据文件的签名

-b --since-boot[=SPAN] 在最近的引导过程中显示日志

--interval=INTERVAL 设置日志捕获的间隔

--reverse 反向按时间顺序显示

--no-hostname 不要打印主机名

--no-full-field 不要打印字段描述符

--no-header-field 不要打印消息头字段

--output-fields-width=WIDTH 设置字段输出宽度的最佳规则

过滤表达式：

过滤表达式可以基于日志数据属性（例如，单元）或字段（例如，MESSAGE）进行搜索。

过滤表达式使用方括号 `[` 和 `]` 包围，并支持下列操作：

=, !=

<, <=

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/你好赵伟/article/detail/952380

【linux】日志和journalctl 管理查看日志_journalctl -xe

既看即用