Så här visar och analyserar du loggar på Linux med journalctl

Loggmeddelanden är viktiga för granskning och underhåll av ett hälsosamt Linux-system. Varje Linux-dator lagrar loggmeddelanden för olika tjänster eller jobb. Denna guide kommer att utforska hur man läser och analyserar loggmeddelanden med journalctl, ett kommandoradsverktyg för att läsa loggmeddelanden skrivna av journald.

Vad är journald?

Journald är en systemloggningstjänst som aggregerar loggmeddelanden till en journal. Det är en del av systemdemon som ansvarar för händelseloggning i Linux. Journalen är helt enkelt en binär fil som används för att lagra loggmeddelanden som genereras av journald.

Journalloggmeddelanden är inte bestående eftersom de lagras i RAM, vilket är en flyktig lagringsform. Som standard tappas eller torkas journalloggar när din dator startar om eller tappar ström. Linux tilldelar en fast mängd RAM till journald-loggar för att undvika att systemet täpps till.

Hur man använder journalctl-kommandot

Du kan använda journalctl för att fråga systemd journal eller journald loggar. Systemet indexerar alla journalloggar för att förbättra effektiviteten när du läser loggmeddelanden från journal.

Notera: Denna guide använder sudo att köra kommandon med förhöjda behörigheter eftersom journalctl-kommandot inte visar alla loggmeddelanden när du kör det som en vanlig Linux-användare.

Visa alla loggmeddelanden

För att se alla journald-loggar, kör du bara journalctl-kommandot utan några argument:

sudo journalctl

Kommandot journalctl listar alla journald loggar på ditt system i kronologisk ordning. Kommandot använder mindre i bakgrunden som ger dig samma navigationsförmåga som du vanligtvis skulle ha med mindre kommando. Du kan till exempel navigera genom loggarna med hjälp av F och B på tangentbordet.

Om du vill ändra ordningen i vilket systemet matar ut loggarna, dvs. visa den senaste först, kan du använda -r flagga med kommandot. De -r flagga står för Omvänd.

sudo journalctl -r

Visa Kernel journald Logs

Kärnloggar är mycket viktiga på Linux eftersom de innehåller information relaterad till ditt system från det att det startar upp. Om du bara vill visa kärnloggar anger du -k flagga med kommandot journalctl:

sudo journalctl -k

Utdata kommer också att lista en del kärninformation, till exempel kärnversionen och dess namn.

Relaterad: Vad är en kärna i Linux och hur kontrollerar du din version?

Filtrera journalloggar efter ett specifikt program

Du kan också visa loggar relaterade till ett specifikt program eller en tjänst med journalctl. Till exempel för att visa loggar som är associerade med cron tjänst, kör kommandot nedan:

sudo journalctl -u cron

Visa loggmeddelanden i realtid

Ibland kanske du vill visa loggarna i realtid när de loggas. För det, utfärda följande kommando:

sudo journalctl -f

Använd Ctrl + C snabbtangent för att lämna realtidsvyn.

Få loggmeddelanden efter datum

Du kan använda journalctl för att filtrera och analysera loggarna med en tidsstämpel. Till exempel för att visa loggarna från igår till nu:

sudo journalctl - sedan = igår

Du kan vara mer specifik genom att använda en detaljerad "sedan" och "tills" tidsstämpel, enligt följande:

sudo journalctl --since = "2021-07-17 12:00:00" --until = "2021-07-17 15:00:00"

Journalctl visar endast loggmeddelandena för den angivna perioden.

Visa loggmeddelanden med UID eller PID

Du kan också filtrera journalloggar med användar-ID (UID) eller process-ID (PID). Den grundläggande syntaxen är:

sudo journalctl _UID = 0

... där 0 är UID för rotkontot. Du kan också ersätta UID i det ovannämnda kommandot med antingen PID eller GID (grupp-ID).

Formatering av journalctl-utdata

För att visa journalctl-loggar med ett visst utdataformat bör du använda journalctl -o kommando följt av önskat format. För att till exempel visa loggarna i ett vackert JSON-format, kör kommandot nedan:

sudo journalctl -o json-pretty

Produktion:

Relaterad: Komma igång med systemloggning i Linux

Konfigurera journald på Linux

Den här guiden har visat dig hur du visar och analyserar journalloggmeddelanden på Linux med kommandot journalctl. De /var/log/journal katalog lagrar alla journald loggar. Observera att inte alla Linux-distro har journald aktiverat som standard.

Du kan använda /etc/systemd/journald.conf fil för att konfigurera eller göra ändringar i journald-konfigurationen på din dator. Förutom en effektiv loggningstjänst finns det flera andra verktyg som är ett måste om du menar allvar med säkerheten för dina Linux-servrar.

6 måste ha open source-verktyg för att säkra din Linux-server

Vill du inte kompromissa med säkerheten på din Linux-server? Installera dessa sex verktyg för att skapa ett ogenomträngligt nätverk.

Läs Nästa

Om författaren

Expandera för att läsa hela berättelsen