深入探究journalctl命令：多角度解析查看和管理 Linux 日誌

一、journalctl基本介紹

journalctl 是Linux系統的一個系統日誌查看工具。使用 journalctl 命令可以查看系統日誌並進行過濾和排序。它能夠讀取系統日誌存儲在文件系統中的二進位格式，並支持諸如進程ID、單元或其他標準日誌記錄欄位的過濾器。同時，它還提供了豐富的格式選項，以便輕鬆查看和管理日誌。

默認情況下，journalctl 會顯示最近一個工作日的記

二、journalctl常用參數

1. -u, –unit

-u（或者 --unit= ）參數可以過濾日誌記錄的單元（systemd Unit）。如果要查找特定單元的日誌記錄，可以使用以下命令：

journalctl -u nginx.service 

上述命令顯示 nginx.service 的所有日誌記錄。如果要按逆序排序，則使用以下命令：

journalctl -u nginx.service -r

2. -f, –follow

-f 選項會實時地跟蹤日誌，而不是只顯示最新的日誌文件，這會非常有用。例如，如果要監視系統日誌，以便及時掌握有關任何系統異常的信息，則可以使用以下命令：

journalctl -f 

上述命令將按實時更新跟蹤日誌。

3. -n, –lines

-n 選項會顯示指定的最近日誌條數。例如，如果要查看前20個日誌條目，請使用以下命令：

journalctl -n 20 

4. -k, –dmesg

-k 選項會顯示內核消息。例如，以下命令將顯示與內核消息相關的所有日誌記錄：

journalctl -k

如果只想查看最新的10個內核消息，請使用以下命令：

journalctl -k -n 10 

三、journalctl高級用法

1. 自定義時間戳格式

journalctl 默認使用 RFC 3339 格式的時間戳，例如：2021-08-28T06:30:57.953662+08:00。如果想要使用不同的時間戳格式，則需要使用 --output= 和 --since= 選項來自定義輸出。例如，以下命令將跟蹤從三小時前直到現在的各個記錄，並使用自定義的時間戳格式（YYYY-MM-DD hh:mm:ss）輸出：

 journalctl --since "3 hours ago" --until "now" --output=short-precise 

2. 查找關鍵字

journalctl 可以通過 grep 和正則表達式查找具有特定單詞和短語的日誌條目，使用 --grep= 或 --regex= 選項。例如，以下命令將顯示包含單詞「error」的所有日誌記錄：

 journalctl --grep="error"

3. 按欄位查詢特定記錄

journalctl 可以根據記錄的不同欄位來查找特定記錄。使用-f 或 --field= 選項，其後接著查詢的值來完成查詢。例如，以下命令將搜索日誌記錄，查找其中的日誌來源（以 MESSAGE_ID_FIELD=SYSLOG_IDENTIFIER 為前綴的日誌）：

 journalctl -f _SYSTEMD_UNIT="sshd.service"

四、journalctl配置文件

1. 查看默認配置文件位置

要查找 journalctl 的默認配置文件，需要先使用以下命令啟動查找：

journalctl  --show-cursor 

然後查找下面一行代碼：

...
Cursor: cursor: s=ba22a36bfcce4227a9ade40cb0d2b018;i=346;b=cbf1824ec8f7498d93b88e70925ee735;m=280bfc1e4;t=5c0ff82b4b0df;x=e4ae2415b3d1fed1
...

其中包括一個「cursor」，這是指向最新系統日誌條目的指針，包括是哪個配置文件用來初始化這個系統：

...
m=280bfc1e4;
...

可以看到，這個配置文件的路徑是：

/var/log/journal/280bfc1e4b0df
/system.journal

2. 修改默認配置文件

要修改默認配置文件的大小或最大存儲容量等選項，需要修改 /etc/systemd/journald.conf 文件。打開文件並照需修改。例如，如果要將 Journal 存儲的最大容量增加到100M，可以在文件中搜索 SystemMaxUse ，並將它修改為100M：

# SystemMaxUse=50M
SystemMaxUse=100M

然後保存文件並重新載入 systemd-journald 服務：

systemctl reload systemd-journald.service 

總結

以上是對於 journalctl 命令的一些詳細介紹和實戰演示。通過學習這些用法，可以更加高效地查看和管理系統日誌。在具體的使用中，按需選擇已提到的參數和配置文件選項，會讓你在實際中更加得心應手。