Понимание системных журналов

Представьте сервер как занятого работника. Он выполняет множество задач: от запуска веб-сайтов до обработки данных. Как узнать, чем он занимался?

• Системные журналы — это своего рода дневник сервера.
• В них записываются события, ошибки, предупреждения и другие действия.
• Эти журналы крайне важны для понимания поведения сервера, отладки проблем и обеспечения безопасности.

В системах Linux большинство традиционных файлов журналов хранится в специальном каталоге: /var/log.

Этот каталог служит центральным хранилищем журналов системы, служб и приложений. Обычно именно его проверяют первым при устранении неполадок.

Используем команду ls, чтобы посмотреть, какие файлы журналов обычно находятся в каталоге /var/log на сервере Linux.

Вы заметите множество файлов, часто названных по имени службы или типу записываемого события.

Хотя в /var/log содержится много файлов, некоторые из них используются чаще:

• syslog (или messages): общая активность системы и сообщения о загрузке, не относящиеся к ядру.
• auth.log (или secure): попытки аутентификации, использование sudo и события, связанные с безопасностью.
• kern.log: сообщения, связанные с ядром; часто полезны при диагностике проблем с оборудованием или драйверами.
• boot.log: сообщения, записанные во время запуска системы.

В современных дистрибутивах Linux, использующих systemd, журналы часто управляются журналом — структурированной системой ведения журналов.

Основная утилита командной строки для работы с журналом systemd — journalctl. Она предоставляет мощные возможности фильтрации и просмотра.

Чтобы просмотреть все записи журнала с самого начала, просто запустите journalctl. Записи будут отображаться постранично, подобно выводу less.

Нажмите q, чтобы закрыть просмотр.

journalctl отлично подходит для фильтрации. Вы можете сузить выборку журналов по определённым службам или временным интервалам:

• -u <service>: показать журналы определённого модуля systemd (например, sshd, nginx).
• --since "time": показать журналы начиная с определённого времени (например, "1 hour ago", "2023-01-01").

Когда Вы активно отлаживаете проблему или следите за новыми событиями, journalctl -f чрезвычайно полезен. Параметр -f (следить) передаёт новые записи журнала в реальном времени.

Попробуйте выполнить эту команду, затем откройте другой терминал и войдите по SSH, чтобы увидеть появление новых записей!

Системные журналы — Ваш лучший помощник при отладке. Если служба не запускается или приложение аварийно завершается:

• Проверьте журналы соответствующей службы (например, journalctl -u myapp.service).
• Ищите такие ключевые слова, как error, fail, warning или permission denied.
• В журналах часто содержатся точные сообщения об ошибках или подсказки, которые помогут найти первопричину.

Отлично! Вы научились использовать возможности системных журналов:

• Журналы — важнейшие записи для отладки и аудита.
• /var/log — традиционное место хранения многих файлов журналов.
• journalctl — современный мощный инструмент для запросов к журналам systemd.
• Вы можете фильтровать журналы по службе и времени, а также следить за ними в реальном времени.

Поддерживайте эти навыки в форме: журналы часто становятся первым местом, которое следует проверить, когда что-то идёт не так!