Comprendere i log di sistema

Immagini il Suo server come un lavoratore instancabile. Svolge molte attività, dall'esecuzione di siti web all'elaborazione dei dati. Come può sapere che cosa ha fatto?

• I log di sistema sono come il diario del server.
• Registrano eventi, errori, avvisi e altre attività.
• Questi log sono fondamentali per comprendere il comportamento del server, eseguire il debug dei problemi e mantenere la sicurezza.

Nei sistemi Linux, la maggior parte dei file di log tradizionali è archiviata in una directory specifica: /var/log.

Questa directory funge da repository centrale per i log del sistema, dei servizi e delle applicazioni. Spesso è il primo posto da consultare durante la risoluzione di un problema.

Usiamo il comando ls per vedere quali tipi di file di log si trovano generalmente nella directory /var/log di un server Linux.

Noterà molti file, spesso denominati in base al servizio o al tipo di evento che registrano.

Sebbene /var/log contenga molti file, alcuni sono usati più frequentemente:

• syslog (o messages): attività generale del sistema e messaggi di avvio non relativi al kernel.
• auth.log (o secure): tentativi di autenticazione, utilizzo di sudo ed eventi relativi alla sicurezza.
• kern.log: messaggi relativi al kernel, spesso utili per problemi hardware o dei driver.
• boot.log: messaggi registrati durante l'avvio del sistema.

Nelle moderne distribuzioni Linux che usano systemd, i log sono spesso gestiti dal journal, un sistema di logging strutturato.

L'utility principale da riga di comando per interagire con il journal di systemd è journalctl. Offre potenti funzionalità di filtraggio e visualizzazione.

Per visualizzare tutte le voci del journal dall'inizio, esegua semplicemente journalctl. I log verranno mostrati in una vista impaginata, simile a less.

Prema q per uscire dal visualizzatore.

journalctl è particolarmente efficace nei filtri. Può restringere i log in base a servizi o intervalli di tempo specifici:

• -u <service>: mostra i log di una specifica unità systemd (ad esempio sshd, nginx).
• --since "time": visualizza i log a partire da un momento specifico (ad esempio "1 hour ago", "2023-01-01").

Quando sta eseguendo il debug di un problema o controllando la presenza di nuovi eventi, journalctl -f è estremamente utile. L'opzione -f (follow) trasmette le nuove voci di log in tempo reale.

Provi a eseguirlo, quindi apra un altro terminale e provi ad accedere tramite SSH per vedere comparire le nuove voci.

I log di sistema sono il Suo miglior alleato per il debug. Se un servizio non si avvia o un'applicazione si arresta in modo anomalo:

• Controlli i log del servizio specifico (ad esempio journalctl -u myapp.service).
• Cerchi parole chiave come error, fail, warning o permission denied.
• I log forniscono spesso messaggi di errore esatti o indizi utili a individuare la causa principale.

Ben fatto. Ha imparato a sfruttare la potenza dei log di sistema:

• I log sono registrazioni fondamentali per il debug e l'audit.
• /var/log è la posizione tradizionale di molti file di log.
• journalctl è il potente strumento moderno per interrogare i log del journal di systemd.
• Può filtrare i log per servizio e intervallo di tempo e seguirli in tempo reale.

Mantenga allenate queste competenze: quando qualcosa non funziona, i log sono spesso il primo posto da controllare.