Hvordan vise og analysere logger på Linux med journalctl

Loggmeldinger er viktige for revisjon og vedlikehold av et sunt Linux-system. Hver Linux-datamaskin lagrer loggmeldinger for forskjellige tjenester eller jobber. Denne guiden vil utforske hvordan du leser og analyserer loggmeldinger ved hjelp av journalctl, et kommandolinjeverktøy for å lese loggmeldinger skrevet av journald.

Hva er journald?

Journald er en systemloggtjeneste som samler loggmeldinger til en journal. Det er en del av systemdemonen som er ansvarlig for hendelseslogging i Linux. Journalen er ganske enkelt en binær fil som brukes til å lagre loggmeldinger generert av journald.

Journalloggmeldinger er ikke vedvarende, fordi de lagres i RAM, som er en ustabil form for lagring. Som standard går journallogger tapt eller tørkes når PCen starter på nytt eller mister strøm. Linux tildeler en fast mengde RAM til journallogger for å unngå å tette systemets minne.

Hvordan bruke journalctl-kommandoen

Du kan bruke journalctl til å spørre om systemd-journal eller journallogger. Systemet indekserer alle journallogger for å forbedre effektiviteten når du leser loggmeldinger fra journalen.

Merk: Denne guiden bruker sudo å kjøre kommandoer med forhøyede privilegier fordi journalctl-kommandoen ikke viser alle loggmeldinger når du kjører den som en vanlig Linux-bruker.

Vis alle loggmeldinger

For å se alle journald-loggene, bare kjør journalctl-kommandoen uten noen argumenter:

sudo journalctl

Journalctl-kommandoen viser alle journald-loggene på systemet ditt i kronologisk rekkefølge. Kommandoen bruker mindre i bakgrunnen som gir deg samme navigasjonsevne som du vanligvis ville ha med mindre kommando. For eksempel kan du navigere gjennom loggene ved hjelp av F og B tastene på tastaturet.

Hvis du vil endre rekkefølgen som systemet sender ut loggene, dvs. vise den nyeste først, kan du bruke -r flagg med kommandoen. De -r flagg står for Omvendt.

sudo journalctl -r

Vis Kernel journald Logs

Kjernelogger er veldig viktige på Linux fordi de inneholder informasjon relatert til systemet ditt fra den starter opp. For å bare vise kjernelogger, spesifiser du -k flagg med journalctl-kommandoen:

sudo journalctl -k

Utdataene vil også liste opp noe kjerneinformasjon, for eksempel kjerneversjonen og dens navn.

I slekt: Hva er en kjerne i Linux, og hvordan sjekker du versjonen din?

Filtrer journallogger etter et bestemt program

Du kan også se logger relatert til et bestemt program eller en tjeneste ved hjelp av journalctl. For eksempel for å vise logger tilknyttet cron service, kjør kommandoen nedenfor:

sudo journalctl -u cron

Vis loggmeldinger i sanntid

Noen ganger vil du kanskje se loggene i sanntid mens de logges. For det, gi følgende kommando:

sudo journalctl -f

Bruke Ctrl + C hurtigtast for å gå ut av sanntidsvisningen.

Få loggmeldinger etter dato

Du kan bruke journalctl til å filtrere og analysere loggene ved hjelp av en tidsstempel. For eksempel for å vise loggene fra i går til nå:

sudo journalctl - siden = i går

Du kan være mer spesifikk ved å bruke en detaljert "siden" og "til" tidsstempel, som følger:

sudo journalctl --since = "2021-07-17 12:00:00" --tiltil = "2021-07-17 15:00:00"

Journalctl viser bare loggmeldingene for den angitte perioden.

Vis loggmeldinger etter UID eller PID

Du kan også filtrere journallogger ved hjelp av bruker-ID (UID) eller prosess-ID (PID). Den grunnleggende syntaksen er:

sudo journalctl _UID = 0

... hvor 0 er UID for rotkontoen. Du kan også erstatte UID i den ovennevnte kommandoen med enten PID eller GID (gruppe-ID).

Formatering av journalctl-utdata

For å se journalctl-logger ved hjelp av et bestemt utdataformat, bør du bruke journalctl -o kommando etterfulgt av ønsket format. Hvis du for eksempel vil vise loggene i et pent JSON-format, kjører du kommandoen nedenfor:

sudo journalctl -o json-pen

Produksjon:

I slekt: Komme i gang med systemlogging i Linux

Konfigurerer journald på Linux

Denne guiden har vist deg hvordan du viser og analyserer journalloggmeldinger på Linux ved hjelp av journalctl-kommandoen. De /var/log/journal katalog lagrer alle journalloggene. Merk at ikke alle Linux-distroer er journald aktivert som standard.

Du kan bruke /etc/systemd/journald.conf fil for å konfigurere eller gjøre endringer i journald-konfigurasjonen på din PC. Bortsett fra en effektiv loggtjeneste, er det flere andre verktøy som er et must hvis du er seriøs om sikkerheten til Linux-serverne dine.

6 må ha åpen kildekodeverktøy for å sikre Linux-serveren din

Vil du ikke gå på akkord med sikkerheten til Linux-serveren din? Installer disse seks verktøyene for å sette opp et ugjennomtrengelig nettverk.

Les Neste

Om forfatteren

Utvid til Les hele historien