ทำความเข้าใจบันทึกระบบ

ลองจินตนาการว่าเซิร์ฟเวอร์ของคุณเป็นคนทำงานที่ยุ่งอยู่ตลอดเวลา เซิร์ฟเวอร์ทำงานหลายอย่าง ตั้งแต่เปิดเว็บไซต์ไปจนถึงประมวลผลข้อมูล แล้วคุณจะทราบได้อย่างไรว่าเซิร์ฟเวอร์ทำอะไรไปบ้าง

• บันทึกระบบ เปรียบเสมือนบันทึกประจำวันของเซิร์ฟเวอร์
• บันทึกเหตุการณ์ ข้อผิดพลาด คำเตือน และกิจกรรมอื่น ๆ
• บันทึกเหล่านี้สำคัญอย่างยิ่งต่อการทำความเข้าใจพฤติกรรมของเซิร์ฟเวอร์ การแก้ไขข้อบกพร่อง และการรักษาความปลอดภัย

ในระบบ Linux ไฟล์บันทึกแบบดั้งเดิมส่วนใหญ่จะจัดเก็บอยู่ในไดเรกทอรีเฉพาะ นั่นคือ /var/log

ไดเรกทอรีนี้ทำหน้าที่เป็นคลังกลางสำหรับบันทึกระบบ บริการ และแอปพลิเคชันทั้งหมด โดยมักเป็นสถานที่แรกที่คุณจะตรวจสอบเมื่อแก้ไขปัญหา

มาใช้คำสั่ง ls เพื่อดูว่าโดยทั่วไปมีไฟล์บันทึกประเภทใดอยู่ในไดเรกทอรี /var/log บนเซิร์ฟเวอร์ Linux

คุณจะสังเกตเห็นไฟล์จำนวนมาก ซึ่งมักตั้งชื่อตามบริการหรือประเภทเหตุการณ์ที่ไฟล์บันทึก

แม้ /var/log จะมีไฟล์อยู่มากมาย แต่บางไฟล์มีการใช้งานบ่อยกว่าไฟล์อื่น

• syslog (หรือ messages): กิจกรรมระบบทั่วไป และข้อความขณะเริ่มระบบที่ไม่เกี่ยวกับเคอร์เนล
• auth.log (หรือ secure): ความพยายามยืนยันตัวตน การใช้งาน sudo และเหตุการณ์ที่เกี่ยวข้องกับความปลอดภัย
• kern.log: ข้อความที่เกี่ยวข้องกับเคอร์เนล ซึ่งมักมีประโยชน์เมื่อตรวจสอบปัญหาฮาร์ดแวร์หรือไดรเวอร์
• boot.log: ข้อความที่บันทึกระหว่างการเริ่มระบบ

ในดิสทริบิวชัน Linux สมัยใหม่ที่ใช้ systemd บันทึกต่าง ๆ มักได้รับการจัดการโดย journal ซึ่งเป็นระบบบันทึกข้อมูลแบบมีโครงสร้าง

เครื่องมือบรรทัดคำสั่งหลักสำหรับโต้ตอบกับ journal ของ systemd คือ journalctl ซึ่งมีความสามารถอันทรงพลังสำหรับกรองและดูข้อมูล

หากต้องการดูรายการบันทึกทั้งหมดตั้งแต่เริ่มต้น เพียงเรียกใช้ journalctl ระบบจะแสดงบันทึกในมุมมองแบบแบ่งหน้า คล้ายกับ less

กด q เพื่อออกจากโปรแกรมดู

journalctl มีความสามารถในการกรองที่ยอดเยี่ยม คุณสามารถจำกัดบันทึกตามบริการหรือช่วงเวลาที่ต้องการได้

• -u <service>: แสดงบันทึกของหน่วย systemd ที่ระบุ เช่น sshd หรือ nginx
• --since "time": ดูบันทึกตั้งแต่เวลาที่ระบุ เช่น "1 hour ago" หรือ "2023-01-01"

เมื่อคุณกำลังแก้ไขข้อบกพร่องของปัญหาอย่าง सक्रिय หรือเฝ้าดูเหตุการณ์ใหม่ journalctl -f จะมีประโยชน์อย่างมาก ตัวเลือก -f (ติดตาม) จะส่งรายการบันทึกใหม่มาแสดงแบบเรียลไทม์

ลองใช้คำสั่งนี้ จากนั้นเปิดเทอร์มินัลอีกหน้าต่างหนึ่งและลองเข้าสู่ระบบผ่าน SSH เพื่อดูรายการใหม่ที่ปรากฏขึ้น

บันทึกระบบเป็นเครื่องมือคู่ใจที่ดีที่สุดสำหรับการแก้ไขข้อบกพร่อง หากบริการไม่เริ่มทำงานหรือแอปพลิเคชันขัดข้อง

• ตรวจสอบบันทึกของบริการนั้นโดยเฉพาะ เช่น journalctl -u myapp.service
• ค้นหาคำสำคัญ เช่น error fail warning หรือ permission denied
• บันทึกมักมีข้อความข้อผิดพลาดที่ชัดเจนหรือเบาะแสที่ช่วยให้คุณค้นหาสาเหตุรากของปัญหา

ทำได้ดีมาก คุณได้เรียนรู้วิธีใช้ประโยชน์จากบันทึกระบบแล้ว

• บันทึกเป็นหลักฐานสำคัญสำหรับการแก้ไขข้อบกพร่องและการตรวจสอบย้อนหลัง
• /var/log เป็นที่จัดเก็บแบบดั้งเดิมของไฟล์บันทึกจำนวนมาก
• journalctl เป็นเครื่องมือสมัยใหม่อันทรงพลังสำหรับค้นหาบันทึก journal ของ systemd
• คุณสามารถกรองบันทึกตามบริการและเวลา รวมทั้งติดตามบันทึกแบบเรียลไทม์ได้

ฝึกทักษะเหล่านี้ให้คล่องอยู่เสมอ เพราะบันทึกมักเป็นสถานที่แรกที่ควรตรวจสอบเมื่อเกิดปัญหา