Systemprotokolle verstehen

Stellen Sie sich Ihren Server als fleißigen Mitarbeiter vor. Er erledigt viele Aufgaben – von der Bereitstellung von Websites bis zur Verarbeitung von Daten. Woher wissen Sie, was er getan hat?

• Systemprotokolle sind wie das Tagebuch eines Servers.
• Sie halten Ereignisse, Fehler, Warnungen und andere Aktivitäten fest.
• Diese Protokolle sind entscheidend, um das Verhalten des Servers zu verstehen, Probleme zu beheben und die Sicherheit aufrechtzuerhalten.

Auf Linux-Systemen werden die meisten herkömmlichen Protokolldateien in einem bestimmten Verzeichnis gespeichert: /var/log.

Dieses Verzeichnis dient als zentrale Ablage für alle System-, Dienst- und Anwendungsprotokolle. Bei der Fehlersuche ist es häufig der erste Ort, den Sie prüfen.

Verwenden wir den Befehl ls, um zu sehen, welche Arten von Protokolldateien sich normalerweise im Verzeichnis /var/log eines Linux-Servers befinden.

Sie werden viele Dateien bemerken, die oft nach dem Dienst oder der Art des von ihnen aufgezeichneten Ereignisses benannt sind.

Obwohl /var/log viele Dateien enthält, werden einige besonders häufig verwendet:

• syslog (oder messages): Allgemeine Systemaktivität und nicht vom Kernel stammende Startmeldungen.
• auth.log (oder secure): Authentifizierungsversuche, sudo-Nutzung und sicherheitsrelevante Ereignisse.
• kern.log: Kernelbezogene Meldungen, die häufig bei Problemen mit Hardware oder Treibern hilfreich sind.
• boot.log: Während des Systemstarts aufgezeichnete Meldungen.

Bei modernen Linux-Distributionen, die systemd verwenden, werden Protokolle häufig vom Journal, einem strukturierten Protokollierungssystem, verwaltet.

Das wichtigste Befehlszeilenprogramm für die Arbeit mit dem systemd-Journal ist journalctl. Es bietet leistungsfähige Möglichkeiten zum Filtern und Anzeigen.

Um alle Journaleinträge von Anfang an anzuzeigen, führen Sie einfach journalctl aus. Die Protokolle werden ähnlich wie bei less in einer seitenweisen Ansicht angezeigt.

Drücken Sie zum Beenden der Ansicht q.

journalctl eignet sich hervorragend zum Filtern. Sie können Protokolle auf bestimmte Dienste oder Zeiträume eingrenzen:

• -u <service>: Zeigt Protokolle für eine bestimmte systemd-Unit an (z. B. sshd, nginx).
• --since "time": Zeigt Protokolle ab einem bestimmten Zeitpunkt an (z. B. "1 hour ago", "2023-01-01").

Wenn Sie gerade ein Problem beheben oder neue Ereignisse beobachten, ist journalctl -f äußerst nützlich. Die Option -f (follow) gibt neue Protokolleinträge fortlaufend in Echtzeit aus.

Probieren Sie es aus. Öffnen Sie anschließend ein weiteres Terminal und melden Sie sich per SSH an, um zu sehen, wie neue Einträge erscheinen!

Systemprotokolle sind Ihre besten Helfer bei der Fehlersuche. Wenn ein Dienst nicht startet oder eine Anwendung abstürzt:

• Prüfen Sie die Protokolle des betreffenden Dienstes (z. B. journalctl -u myapp.service).
• Suchen Sie nach Schlüsselwörtern wie error, fail, warning oder permission denied.
• Protokolle enthalten häufig genaue Fehlermeldungen oder Hinweise, die Ihnen helfen, die eigentliche Ursache zu finden.

Sie versuchen, einen Webserverdienst namens nginx zu debuggen, der nach einem kürzlich durchgeführten Systemupdate nicht gestartet werden konnte. Welcher der folgenden journalctl-Befehle wäre für eine sofortige Diagnose am hilfreichsten?

Sehr gut! Sie haben gelernt, die Möglichkeiten von Systemprotokollen zu nutzen:

• Protokolle sind wichtige Aufzeichnungen für Fehlersuche und Auditing.
• /var/log ist der herkömmliche Speicherort vieler Protokolldateien.
• journalctl ist Ihr modernes, leistungsfähiges Werkzeug zum Abfragen von systemd-Journalprotokollen.
• Sie können Protokolle nach Dienst und Zeit filtern und fortlaufend in Echtzeit anzeigen.

Halten Sie diese Fähigkeiten frisch – Protokolle sind oft der erste Ort, den Sie bei Problemen prüfen sollten!