Linux系统日志查看指南_Linux日志文件位置与用途解析

Linux系统日志核心位于/var/log/，如messages、syslog、auth.log等，分别记录通用事件、认证操作等；需用tail、grep、journalctl等命令查看过滤，注意logrotate轮转及journald持久化配置。

Linux系统日志是排查故障、监控运行状态和审计安全事件的核心依据。掌握日志文件的位置、格式和查看方法，能快速定位问题根源。

核心日志文件位置与用途

大多数日志由rsyslog或journald管理，传统路径集中在/var/log/目录下：

• /var/log/messages：通用系统日志（CentOS/RHEL 7以前、部分Debian系），记录内核、服务启动、邮件、cron等非认证类事件
• /var/log/syslog：Debian/Ubuntu默认系统日志，作用类似messages，但更广泛涵盖系统组件
• /var/log/auth.log：专注用户认证相关操作，如SSH登录、sudo命令、su切换、PAM事件
• /var/log/kern.log：内核消息独立记录（常见于Ubuntu），便于单独分析硬件、驱动、网络栈异常
• /var/log/dmesg：开机时内核环缓冲区快照，适合查硬件识别、模块加载失败等问题（也可用dmesg命令实时读取）
• /var/log/journal/：systemd-journald的二进制日志存储目录（RHEL 7+/Ubuntu 16.04+默认启用），需用journalctl访问

常用查看与过滤方法

不依赖图形界面，纯命令行即可高效分析：

• 用tail -f /var/log/syslog实时追踪最新日志，按Ctrl+C退出
• 用grep "Failed password" /var/log/auth.log快速筛选SSH暴力破解尝试
• 用less +G /var/log/messages打开并自动跳至末尾，支持上下翻页和搜索（输入/关键词）
• 对压缩过的旧日志（如messages-20240501.gz），直接用zgrep或zcat，例如：zgrep "Out of memory" /var/log/messages-*.gz

systemd-journald日志操作要点

现代发行版默认启用journald，其日志更结构化、支持字段过滤，但不直接以文本形式存放：

AI Undetect

让AI无法察觉，让文字更人性化，为文字体验创造无限可能。

162

查看详情

• journalctl -u sshd.service：查看sshd服务的全部日志
• journalctl --since "2 hours ago" --until "1 hour ago"：按时间范围检索
• journalctl -p err..crit：只显示错误（err）及更严重级别（crit、alert、emerg）的日志
• journalctl -b -1：查看上一次启动的日志（-b 表示boot，-1 是上一次）
• 日志默认仅保存在内存和/tmp中，如需持久化，需创建/var/log/journal/目录并重启journald（systemctl restart systemd-journald）

日志轮转与清理注意事项

日志不会自动删除，靠logrotate定期归档压缩，配置通常在/etc/logrotate.d/下：

• 检查/etc/logrotate.conf中的全局设置，如保留几周、是否压缩、是否每日轮转
• 误删/var/log/messages可能导致新日志写入失败（需重启rsyslog或reboot才能恢复），建议用truncate -s 0 /var/log/messages清空内容而非删除文件
• 磁盘空间不足时，可临时清理/var/log/journal/中过期的二进制日志：journalctl --vacuum-time=2weeks 或 --vacuum-size=500M

基本上就这些。理清路径、匹配工具、注意轮转机制，日常运维查日志就不费劲了。

以上就是Linux系统日志查看指南_Linux日志文件位置与用途解析的详细内容，更多请关注php中文网其它相关文章！