使用 journalctl 管理系统日志

时间：11-21来源：作者：点击数：

前言

在现代 Linux 系统中，journalctl 是管理和查看系统日志的强大工具。它是 systemd 日志系统的一部分，提供了一种统一的方式来查看所有系统日志，包括内核日志、服务日志和用户空间应用程序日志。在本文中，我们将介绍 journalctl 的基本用法以及一些高级功能。

安装 journalctl

大多数现代 Linux 发行版（如 Ubuntu、Fedora 和 CentOS）默认都已经安装了 systemd 和 journalctl。你可以通过以下命令检查 journalctl 是否已经安装：

nvidia@nvidia-desktop:~$ journalctl --version
systemd 245 (245.4-4ubuntu3.21)
+PAM +AUDIT +SELINUX +IMA +APPARMOR +SMACK +SYSVINIT +UTMP +LIBCRYPTSETUP +GCRYPT +GNUTLS +ACL +XZ +LZ4 +SECCOMP +BLKID +ELFUTILS +KMOD +IDN2 -IDN +PCRE2 default-hierarchy=hybrid

基本用法

查看全部日志

要查看系统中的所有日志条目，只需运行：

journalctl

按时间查看日志

你可以使用 -b 选项来查看自上次系统启动以来的日志：

journalctl -b

如果你想查看之前启动的日志，可以在 -b 选项后加上启动次数：

journalctl -b -1  # 查看上一次启动的日志
journalctl -b -2  # 查看上两次启动的日志

按时间范围查看日志

你可以使用 --since 和 --until 选项来查看特定时间范围内的日志：

journalctl --since "2024-07-01 00:00:00" --until "2024-07-01 23:59:59"

实时跟踪日志

如果你想实时查看日志条目（类似于 tail -f），可以使用 -f 选项：

journalctl -f

按服务查看日志

要查看特定服务的日志，可以使用 -u 选项后跟服务名：

journalctl -u sshd

按优先级查看日志

journalctl 支持按日志条目的优先级进行过滤。常见的优先级包括 emerg、alert、crit、err、warning、notice、info 和 debug。例如，要查看所有错误级别及以上的日志：

journalctl -p err

你也可以指定一个优先级范围，例如查看 warning 及以上的日志：

journalctl -p warning..emerg

查看内核日志

journalctl -k

时间倒叙查看日志

journalctl -r

高级用法

按特定字段过滤

journalctl 允许你按日志条目中的特定字段进行过滤。例如，要按 SYSLOG_IDENTIFIER 过滤日志，可以使用：

journalctl SYSLOG_IDENTIFIER=sshd

按 PID 过滤日志：

journalctl _PID=1234

持久化日志

默认情况下，journalctl 日志存储在 /run/log/journal 中，这意味着它们在重启后会丢失。要使日志持久化，可以创建目录 /var/log/journal 并设置合适的权限：

sudo mkdir -p /var/log/journal
sudo systemd-tmpfiles --create --prefix /var/log/journal
sudo systemctl restart systemd-journald

设置日志轮换和大小限制

你可以通过编辑 /etc/systemd/journald.conf 文件来配置日志的大小限制和轮换策略。例如，设置最大日志文件大小为 100M：

[Journal]
SystemMaxUse=100M

编辑完配置文件后，重新启动 systemd-journald 服务：

sudo systemctl restart systemd-journald

systemd 和 journalctl 的关系

journalctl 是 systemd 的日志查看工具，用于访问和管理由 systemd 的日志守护进程 systemd-journald 收集的日志。systemd-journald 负责将日志信息收集到一个二进制日志文件中，这些日志信息包括系统日志、服务日志和内核日志。

日志收集：systemd 通过 systemd-journald 收集系统日志和服务日志。systemd-journald 会收集来自不同来源的日志信息，包括内核消息、系统服务、用户应用程序等。收集到的日志存储在二进制日志文件中，这些文件通常位于 /run/log/journal（非持久化）或 /var/log/journal（持久化）。
日志存储格式：systemd-journald 使用一种二进制格式存储日志，这种格式比传统的纯文本日志格式更高效，并且支持更复杂的查询和过滤操作。二进制日志文件可以存储更多的元数据，比如日志条目的时间戳、优先级、进程 ID、用户 ID 等。
日志查看和管理：journalctl 是用于查看和管理这些二进制日志文件的工具。通过 journalctl，用户可以查询、过滤、导出和分析日志。journalctl 提供了强大的过滤和查询功能，允许用户按时间、服务、优先级等多种条件筛选日志。
服务日志集成：systemd 中的每个服务都有自己的日志条目，这些日志可以通过 journalctl 轻松查看。例如，要查看 sshd 服务的日志，可以使用 journalctl -u sshd。这使得服务日志管理变得更加统一和便捷。

systemd 和 systemd-journald 关系

systemd 是一个系统和服务管理器，旨在成为 Linux 操作系统的 init 系统。systemd 负责系统引导、管理系统服务、设备、网络设置等多种任务。systemd-journald 是 systemd 的一部分，负责日志记录。

以下是 systemd 和 systemd-journald 的关系及其工作原理：

systemd 简介

服务管理：systemd 启动、停止和管理系统服务。它使用单元文件（unit files）来定义服务、套接字、设备、挂载点等。
依赖关系管理：systemd 可以管理服务之间的依赖关系，确保服务按照正确的顺序启动和停止。
并行启动：systemd 支持并行启动服务，加快系统启动速度。
快照和恢复：systemd 支持快照和恢复系统状态。

systemd-journald 简介

systemd-journald 是 systemd 的日志守护进程，负责收集、存储和传输日志数据。

日志收集：systemd-journald 收集来自内核、系统服务、用户进程的日志。
日志存储：日志可以存储在内存中、磁盘上，或两者兼有。存储格式是二进制的 Journal 格式。
集中管理：所有日志集中管理，方便查询和分析。
安全性：支持日志签名和完整性验证，确保日志未被篡改。
查询和过滤：使用 journalctl 工具可以方便地查询和过滤日志。

systemd 和 systemd-journald 的关系

集成：systemd-journald 是 systemd 的一部分，集成在 systemd 生态系统中。它与 systemd 的其他组件密切协作。
日志来源：systemd 的各个服务、进程和系统组件会将日志发送给 systemd-journald。systemd-journald 收集并存储这些日志。
管理和查询：系统管理员可以使用 journalctl 工具来查看 systemd-journald 收集的日志。journalctl 通过 systemd 提供的 API 访问日志数据。