用 tail -f 实时追踪日志需选对参数、避开断连和权限问题；基础用 -f，日志轮转必须用 -f，过滤用管道加 grep，复杂场景可选 multitail 或 lnav 等进阶工具。
用 tail -f 就能实时追踪日志，核心是让终端持续输出文件新增内容。关键不在“怎么启动”，而在于选对参数、避开常见断连和权限问题。
基础监控：-f 是默认起点
绝大多数场景下，直接运行以下命令即可开始追踪：
- tail -f /var/log/syslog —— 显示最后10行并持续追加新内容
- tail -n 50 -f /var/log/nginx/access.log —— 先加载最近50行，再实时刷新
- sudo tail -f /var/log/secure —— 遇到权限不足时加 sudo（普通用户通常无权读系统安全日志）
按 Ctrl+C 可随时退出。注意：-f 默认基于文件描述符跟踪，文件重命名后仍显示原内容，不自动切换到新文件。
应对日志轮转：必须用 -F 参数
生产环境普遍使用 logrotate，日志文件常被重命名（如 access.log → access.log.1）或清空重建。此时 -f 会卡住或停止输出，-F 才是正确选择：
- tail -F /var/log/apache2/access.log —— 自动检测文件名变化，发现新文件立即接管
- tail -F -n 20 /var/log/messages —— 同时指定初始行数和轮转兼容性
如果看到监控突然中断，先检查是否用了 -f 而非 -F；再用 ls -l /var/log/*.log* 确认当前活跃日志文件名。
精准过滤：管道 + grep 最常用
原始日志信息庞杂，配合 grep 可聚焦关键线索：
- tail -F /var/log/syslog | grep "error" —— 仅显示含 error 的新增行
- tail -F /var/log/syslog | grep -i "warning\|fail" —— 不区分大小写，匹配多关键词
- tail -F /var/log/auth.log | grep -E "(Accepted|Failed) password" —— 用正则精确定位 SSH 登录行为
注意：grep 会屏蔽非匹配行，但不会影响 tail 的实时性；若需高亮关键词，可加 --color=always（部分终端支持）。
进阶替代方案：适合多文件或交互需求
单一 tail 满足日常，但复杂运维场景可考虑更高效的工具：
- multitail /var/log/syslog /var/log/nginx/error.log —— 分屏同时监控多个日志，支持滚动翻页、颜色标记、合并视图
- lnav /var/log/*.log —— 自带日志解析、时间线导航、SQL 查询能力，适合深度分析
- less +F /var/log/syslog —— 进入“跟随模式”，按 F 启动、Ctrl+C 暂停、Shift+G 返回末尾，适合临时查阅后回溯
这些工具需单独安装（如 apt install multitail），但一旦熟悉，效率远超反复敲 tail。
