/var/log 是 linux 系统日志集中存放目录，涵盖系统、安全、服务三类核心日志：/var/log/messages 或 syslog 记录主系统事件；/var/log/secure 或 auth.log 追踪认证行为；/var/log/nginx/ 等专用于应用排错；配合 tail -f、grep 和 journalctl 可高效分析。
/var/log 是 Linux 系统日志的集中存放地，记录着从内核启动、服务运行到用户登录、安全事件等全过程。不同发行版日志命名略有差异（如 CentOS 用 /var/log/messages，Ubuntu 用 /var/log/syslog 和 /var/log/auth.log），但结构逻辑一致。掌握核心日志文件的作用和查看方法，是快速定位问题的基础。
系统核心日志：看懂开机、硬件与服务状态
这类日志反映系统底层运行状况，是排查启动失败、硬件识别异常或服务崩溃的第一站：
- /var/log/messages（RHEL/CentOS）或 /var/log/syslog（Debian/Ubuntu）：系统主日志，整合内核消息、服务启停、定时任务、邮件、守护进程等非安全类事件。适合日常监控和综合排错。
- /var/log/dmesg：内核环缓冲区的持久化快照，专注硬件初始化细节——比如网卡是否被识别、磁盘是否响应、USB设备是否加载成功。直接运行 dmesg 命令可查看内存中最新内核输出，比读文件更实时。
- /var/log/boot.log：记录 systemd 或 init 启动过程中各服务脚本的执行顺序与结果。若某个服务（如 nginx 或 mysql）开机没起来，这里能明确看到“failed”或超时提示。
- /var/log/kern.log（Ubuntu/Debian 特有）：纯内核日志，比 messages 更聚焦，常用于分析 OOM（内存溢出）、驱动冲突、中断错误等深度问题。
安全与认证日志：追踪登录、权限与异常行为
这些日志是系统安全审计的核心依据，尤其在排查暴力破解、越权操作或账号异常时必不可少：
- /var/log/secure（RHEL/CentOS）或 /var/log/auth.log（Debian/Ubuntu）：记录所有 PAM 认证事件，包括 SSH 登录成功/失败、sudo 命令执行、su 切换用户等。搜索 Failed password 可快速统计攻击尝试次数。
- /var/log/btmp：二进制格式，只存失败登录记录。需用 last -f /var/log/btmp 查看，适合做入侵初筛。
- /var/log/wtmp：记录所有成功登录与登出事件，配合 last 命令可还原用户会话历史；/var/log/lastlog 则按用户维度展示最近一次登录时间与终端。
- /var/log/faillog：按用户名统计失败登录次数及时间，可用 faillog -u username 查指定账户详情。
服务与应用日志：定位具体程序问题
多数服务会自建日志目录或文件，结构清晰、内容专一，便于定向分析：
- /var/log/cron：记录 cron 守护进程调度动作，确认定时任务是否触发、执行是否报错。
- /var/log/mail.log 或 /var/log/maillog：邮件服务器（如 postfix、sendmail）的收发、投递、拒绝等全流程日志。
- /var/log/nginx/、/var/log/httpd/、/var/log/mysql/ 等：对应服务的访问日志（access.log）、错误日志（error.log）和慢查询日志，是 Web 或数据库故障排查主阵地。
- /var/log/yum.log（RHEL）或 /var/log/dpkg.log（Debian）：包管理操作全程留痕，查某次更新是否引发兼容问题很管用。
日志管理与实用技巧
日志不是堆在那里就能用，得会看、会筛、会维护：
- 实时监控：用 tail -f /var/log/messages 追踪正在发生的事件；加 -n 50 可先看最近 50 行再持续刷新。
- 精准过滤：组合 grep、awk、sed 提取关键信息。例如：grep "Out of memory" /var/log/kern.log 找 OOM；grep "192.168.1.100" /var/log/nginx/access.log | wc -l 统计某 IP 请求量。
- 轮转机制：系统默认通过 logrotate 自动压缩、归档、清理旧日志，配置在 /etc/logrotate.d/ 下。手动触发轮转可执行 logrotate -f /etc/logrotate.conf。
- 替代方案：systemd 系统推荐用 journalctl 查看统一日志流（支持时间范围、服务名、优先级筛选），例如 journalctl -u sshd --since "2 hours ago"。
