Comprendre les journaux système

Imaginez votre serveur comme un travailleur très occupé. Il effectue de nombreuses tâches, de l'hébergement de sites web au traitement des données. Comment savoir ce qu'il a fait ?

• Les journaux système sont comme le journal intime d'un serveur.
• Ils consignent les événements, les erreurs, les avertissements et les autres activités.
• Ces journaux sont essentiels pour comprendre le comportement du serveur, corriger les problèmes et maintenir la sécurité.

Sur les systèmes Linux, la plupart des fichiers journaux traditionnels sont stockés dans un répertoire précis : /var/log.

Ce répertoire sert de dépôt central pour tous les journaux du système, des services et des applications. C'est souvent le premier endroit que vous consultez lors du diagnostic d'un problème.

Utilisons la commande ls pour voir quels types de fichiers journaux se trouvent généralement dans le répertoire /var/log d'un serveur Linux.

Vous remarquerez de nombreux fichiers, souvent nommés d'après le service ou le type d'événement qu'ils consignent.

Bien que /var/log contienne de nombreux fichiers, certains sont utilisés plus couramment :

• syslog (ou messages) : activité générale du système, messages de démarrage autres que ceux du noyau.
• auth.log (ou secure) : tentatives d'authentification, utilisation de sudo, événements liés à la sécurité.
• kern.log : messages liés au noyau, souvent utiles pour les problèmes matériels ou de pilotes.
• boot.log : messages enregistrés pendant le démarrage du système.

Avec les distributions Linux modernes qui utilisent systemd, les journaux sont souvent gérés par le journal, un système de journalisation structuré.

L'utilitaire principal en ligne de commande pour interagir avec le journal systemd est journalctl. Il offre de puissantes fonctionnalités de filtrage et de consultation.

Pour afficher toutes les entrées du journal depuis le début, exécutez simplement journalctl. Les journaux s'afficheront dans une vue paginée, semblable à celle de less.

Appuyez sur q pour quitter le lecteur.

journalctl excelle dans le filtrage. Vous pouvez limiter les journaux à certains services ou intervalles de temps :

• -u <service> : affiche les journaux d'une unité systemd précise (par exemple sshd, nginx).
• --since "time" : affiche les journaux à partir d'un moment précis (par exemple "1 hour ago", "2023-01-01").

Lorsque vous corrigez activement un problème ou surveillez l'apparition de nouveaux événements, journalctl -f est extrêmement utile. L'option -f (suivre) diffuse les nouvelles entrées du journal en temps réel.

Essayez-la, puis ouvrez un autre terminal et tentez de vous connecter via SSH pour voir apparaître les nouvelles entrées !

Les journaux système sont vos meilleurs alliés pour le débogage. Si un service ne démarre pas ou si une application se bloque :

• Consultez les journaux de ce service précis (par exemple journalctl -u myapp.service).
• Recherchez des mots-clés comme error, fail, warning ou permission denied.
• Les journaux fournissent souvent des messages d'erreur exacts ou des indices pour vous aider à trouver la cause racine.

Vous essayez de corriger un service de serveur web (nommé nginx) qui n'a pas réussi à démarrer après une récente mise à jour du système. Laquelle des commandes journalctl suivantes serait la plus utile pour effectuer un diagnostic immédiat ?

Très bien ! Vous avez appris à exploiter la puissance des journaux système :

• Les journaux sont des enregistrements essentiels pour le débogage et l'audit.
• /var/log est l'emplacement traditionnel de nombreux fichiers journaux.
• journalctl est votre outil moderne et puissant pour interroger les journaux du journal systemd.
• Vous pouvez filtrer les journaux par service et par heure, et les suivre en temps réel.

Entretenez ces compétences : les journaux sont souvent le premier endroit à consulter lorsque les choses tournent mal !