Zrozumienie logów systemowych

Wyobraźmy sobie serwer jako zapracowanego pracownika. Wykonuje wiele zadań — od obsługi stron internetowych po przetwarzanie danych. Skąd wiadomo, czym się zajmował?

• Dzienniki systemowe są niczym dziennik prowadzony przez serwer.
• Rejestrują zdarzenia, błędy, ostrzeżenia i inne działania.
• Dzienniki te mają kluczowe znaczenie dla zrozumienia działania serwera, debugowania problemów i zapewnienia bezpieczeństwa.

W systemach Linux większość tradycyjnych plików dziennika jest przechowywana w określonym katalogu: /var/log.

Katalog ten pełni funkcję centralnego repozytorium dzienników systemu, usług i aplikacji. Podczas rozwiązywania problemu często jest to pierwsze miejsce, które należy sprawdzić.

Użyjmy polecenia ls, aby sprawdzić, jakie rodzaje plików dziennika zwykle znajdują się w katalogu /var/log na serwerze Linux.

Zauważą Państwo wiele plików, często nazwanych na podstawie usługi lub rodzaju rejestrowanych zdarzeń.

Chociaż katalog /var/log zawiera wiele plików, niektóre z nich są używane częściej:

• syslog (lub messages): Ogólna aktywność systemu i komunikaty rozruchowe niezwiązane z jądrem.
• auth.log (lub secure): Próby uwierzytelnienia, użycie sudo i zdarzenia związane z bezpieczeństwem.
• kern.log: Komunikaty dotyczące jądra, często przydatne przy diagnozowaniu problemów ze sprzętem lub sterownikami.
• boot.log: Komunikaty rejestrowane podczas uruchamiania systemu.

W nowoczesnych dystrybucjach Linuksa korzystających z systemd dzienniki są często zarządzane przez journal — ustrukturyzowany system rejestrowania.

Podstawowym narzędziem wiersza poleceń do obsługi dziennika systemd jest journalctl. Zapewnia ono zaawansowane możliwości filtrowania i wyświetlania danych.

Aby wyświetlić wszystkie wpisy dziennika od początku, wystarczy uruchomić journalctl. Dzienniki zostaną wyświetlone w widoku stronicowanym, podobnym do programu less.

Naciśnięcie q kończy działanie przeglądarki.

Narzędzie journalctl doskonale nadaje się do filtrowania. Można zawęzić dzienniki do określonych usług lub przedziałów czasu:

• -u <service>: Wyświetla dzienniki określonej jednostki systemd (np. sshd, nginx).
• --since "time": Wyświetla dzienniki od określonego momentu (np. "1 hour ago", "2023-01-01").

Podczas aktywnego debugowania problemu lub obserwowania nowych zdarzeń niezwykle przydatne jest polecenie journalctl -f. Opcja -f (follow) wyświetla nowe wpisy dziennika w czasie rzeczywistym.

Proszę wypróbować to polecenie, a następnie otworzyć drugi terminal i spróbować zalogować się przez SSH, aby zobaczyć pojawiające się nowe wpisy!

Dzienniki systemowe są najlepszym przyjacielem podczas debugowania. Jeśli usługa się nie uruchamia lub aplikacja ulega awarii:

• Sprawdź dzienniki tej konkretnej usługi (np. journalctl -u myapp.service).
• Szukaj słów kluczowych, takich jak error, fail, warning lub permission denied.
• Dzienniki często zawierają dokładne komunikaty o błędach lub wskazówki pomagające znaleźć ich główną przyczynę.

Próbują Państwo debugować usługę serwera WWW o nazwie nginx, która nie uruchomiła się po niedawnej aktualizacji systemu. Które z poniższych poleceń journalctl będzie najbardziej pomocne w natychmiastowej diagnozie?

Doskonale! Dowiedzieli się już Państwo, jak korzystać z mocy dzienników systemowych:

• Dzienniki są kluczowymi zapisami pomocnymi w debugowaniu i audytowaniu.
• /var/log to tradycyjne miejsce przechowywania wielu plików dziennika.
• journalctl to nowoczesne, zaawansowane narzędzie do odpytywania dzienników journal systemd.
• Dzienniki można filtrować według usługi i czasu oraz śledzić je w czasie rzeczywistym.

Warto utrwalać te umiejętności — gdy coś przestaje działać, dzienniki często są pierwszym miejscem, które należy sprawdzić!