使用tail、less、journalctl、multitail和watch命令可实时监控日志文件，tail -f/-F用于持续追踪新增内容，less按Shift+F进入实时模式，journalctl -f查看systemd日志，multitail并行监控多文件，watch周期性刷新日志内容。
如果您需要监控某个日志文件的最新动态，以便及时发现系统或应用程序的异常行为，可以通过命令行实时追踪日志内容的变化。以下是常用的实时查看日志的方法和技巧。
本文运行环境：Dell PowerEdge R750，Ubuntu 22.04
一、使用tail命令实时追踪日志
tail命令是最常用的日志查看工具之一，配合-f选项可以持续输出文件新增的内容，适用于监控正在被写入的日志文件。
1、打开终端，输入以下命令来实时查看日志文件：tail -f /var/log/syslog。
2、若日志文件被轮转（log rotation），可使用-F选项以确保持续跟踪新生成的文件：tail -F /var/log/syslog。
3、如需仅显示最后N行后再进入实时模式，可添加-n参数，例如显示最后20行并持续追踪：tail -n 20 -f /var/log/apache2/access.log。
二、使用less命令结合Shift+F进行动态浏览
less命令提供更灵活的文本浏览功能，进入后可通过快捷键实现类似tail -f的效果，适合需要在查看过程中自由切换模式的场景。
1、在终端中执行：less /var/log/auth.log，打开指定日志文件。
2、按下键盘上的Shift+F，less将进入实时追踪模式，等效于tail -f，自动显示新增内容。
3、若要暂停追踪并向上滚动查看历史内容，可按Ctrl+C中断追踪，然后使用方向键或Page Up/Down导航。
三、使用journalctl监控systemd日志流
对于使用systemd的Linux发行版，journalctl是管理结构化日志的核心工具，支持按服务、时间、优先级等条件过滤并实时输出。
1、执行以下命令实时查看所有系统日志：journalctl -f。
2、若只想监控特定服务（如nginx）的日志，使用：-u选项指定单元名称：journalctl -u nginx.service -f。
3、结合--since参数可从指定时间开始查看，例如查看过去10分钟内的日志并持续追踪：journalctl --since "10 minutes ago" -f。
四、使用multitail同时监控多个日志文件
multitail工具允许在一个终端窗口中并行显示多个日志文件的实时更新，便于关联分析不同来源的日志信息。
1、安装multitail（若未预装）：sudo apt install multitail（Debian/Ubuntu系统）。
2、启动multitail并监控两个关键日志文件：multitail /var/log/syslog /var/log/nginx/error.log。
3、在界面中，使用方向键切换活动窗口，按q退出当前窗格，或按Q完全退出程序。
五、使用watch命令周期性刷新日志内容
watch命令可定期执行任意命令并高亮显示变化部分，适用于需要定时刷新而非连续追加的日志查看场景。
1、运行watch监控某日志末尾内容：watch -n 2 'tail -n 15 /var/log/mysql/error.log'，每2秒刷新一次。
2、若希望突出显示新增行的变化，添加--differences选项：watch -d -n 1 'tail -n 10 /var/log/kern.log'。
3、按Ctrl+C随时终止watch命令的执行。
