理解系统日志

想象一下，您的服务器就像一名忙碌的工作人员。它会执行许多任务，从运行网站到处理数据。您如何知道它都做过什么？

• 系统日志就像服务器的日记。
• 它们会记录事件、错误、警告和其他活动。
• 这些日志对于了解服务器行为、调试问题和维护安全性至关重要。

在 Linux 系统中，大多数传统日志文件都存储在一个特定目录中：/var/log。

该目录是所有系统、服务和应用程序日志的集中存储位置。排查问题时，您通常会首先查看这里。

让我们使用 ls 命令，看看 Linux 服务器的 /var/log 目录中通常有哪些日志文件。

您会注意到其中有许多文件，它们通常以所记录的服务或事件类型命名。

虽然 /var/log 包含许多文件，但其中一些更常用：

• syslog（或 messages）：常规系统活动和非内核启动消息。
• auth.log（或 secure）：身份验证尝试、sudo 使用情况以及安全相关事件。
• kern.log：与内核相关的消息，通常有助于排查硬件或驱动程序问题。
• boot.log：系统启动期间记录的消息。

在使用 systemd 的现代 Linux 发行版中，日志通常由 journal（一种结构化日志系统）管理。

与 systemd journal 交互的主要命令行实用程序是 journalctl。它提供了强大的筛选和查看功能。

要从最开始查看所有日志条目，只需运行 journalctl。它会以分页方式显示日志，类似于 less。

按 q 退出查看器。

journalctl 非常擅长进行筛选。您可以根据特定服务或时间范围缩小日志范围：

• -u <service>：显示特定 systemd 单元的日志（例如 sshd、nginx）。
• --since "time"：查看特定时间之后的日志（例如 "1 hour ago"、"2023-01-01"）。

当您正在积极调试问题或关注新事件时，journalctl -f 非常有用。-f（跟随）选项会实时持续输出新的日志条目。

试试这个命令，然后打开另一个终端，通过 SSH 尝试登录，看看新的日志条目出现！

系统日志是调试时最好的帮手。如果某项服务无法启动，或者某个应用程序崩溃：

• 检查该服务的日志（例如 journalctl -u myapp.service）。
• 查找 error、fail、warning 或 permission denied 等关键词。
• 日志通常会提供确切的错误消息或线索，帮助您找到根本原因。

您正在尝试调试一个名为 nginx 的 Web 服务器服务，它在最近一次系统更新后启动失败。以下哪个 journalctl 命令最有助于立即诊断问题？

做得很好！您已经学会如何发挥系统日志的作用：

• 日志是调试和审计的重要记录。
• /var/log 是许多日志文件的传统存放位置。
• journalctl 是查询 systemd journal 日志的现代强大工具。
• 您可以按服务和时间筛选日志，并实时跟踪日志。

请保持这些技能的熟练度——出现问题时，日志通常是首先应该查看的地方！