目录

既看即用

简略介绍

linux 两种日志系统

 /var/log 传统日志系统

journald日志系统(systemd-journald)

dmesg 是一个工具,

journalctl是什么？（查看系统日志的工具）

区别的简单说明

journalctl -t 和 journalctl -u 

/var/log/messages 和 systemd-journald 

systemd日志（systemd-journald） 放在哪个目录

`journalctl -h` 的输出

既看即用

CentOS 7 以后版，利用Systemd 统一管理所有 Unit 的启动日志。可以只用journalctl一个命令，查看所有日志（内核日志和应用日志）

常用命令

journalctl -xe # -x 是目录(catalog)的意思，在报错的信息下会，附加解决问题的网址    -e  pager-end 从末尾开始看

从尾部开始看

journalctl -r # -r reverse ，加-r表示倒序从尾部看(推荐)

滚屏输出日志

journalctl -f

journalctl -f -n 20;  # 和tail -f 一个性质

#查看指定时间的日志

journalctl --since="2017-10-30 18:10:30"

journalctl --since "20 min ago"

journalctl --since yesterday

journalctl --since "2017-01-10" --until "2017-01-11 03:00"

journalctl --since 09:00 --until "1 hour ago"

#只看内核日志（不显示应用日志）

journalctl -k

#查看系统本次启动的日志

journalctl -b

journalctl -b -0

#查看上一次启动的日志（需更改设置）

journalctl -b -1

某用户的日志

id root;

journalctl _UID=0 -n 5

#查看指定服务的日志

journalctl /usr/lib/systemd/systemd

#查看某个 Unit 的日志

journalctl -u nginx.service

journalctl -u httpd.service   # -u  service unit

#合并显示多个 Unit 的日志

journalctl -u nginx.service -u php-fpm.service --since today

：https://blog.csdn.net/enthan809882/article/details/104551777/

#只看标记为bash的日志

journalctl -t bash

查看进程的日志

#通过进程名

journalctl -t <进程名称>

#通过进程ID

journalctl -f _PID=2121462

查看http的日志

journalctl -thttpd

配合grep 过滤

journalctl |grep -E 'bash\[|\bsh\['

#查看指定优先级（及其以上级别）的日志，共有8级

0: emerg

1: alert

2: crit

3: err

4: warning

5: notice

6: info

7: debug

journalctl -p err -b2

#日志默认分页输出，–no-pager 改为正常的标准输出

journalctl --no-pager

#日志管理journalctl

#以 JSON 格式（单行）输出

journalctl -b -u nginx.service -o json

#以 JSON 格式（多行）输出，可读性更好

journalctl -b -u nginx.serviceqq -o json-pretty

空间管理

清空 /var/log/journal 文件的方法：https://www.jianshu.com/p/a30648913fe0

#显示日志占据的硬盘空间

journalctl --disk-usage

#指定日志文件占据的最大空间

journalctl --vacuum-size=1G

journalctl --vacuum-size=500M

#指定日志文件保存多久

journalctl --vacuum-time=1years   #只保留近一年的日志

journalctl --vacuum-time=1w  #只保留近一周的日志

journalctl --vacuum-time=2d  #只保留近2天的日志

如果要手工删除日志文件，则在删除前需要先轮转一次journal日志

systemctl kill --kill-who=main --signal=SIGUSR2 systemd-journald.service

要启用日志限制持久化配置，可以修改 /etc/systemd/journald.conf

SystemMaxUse=16M

ForwardToSyslog=no

然后重启

systemctl restart systemd-journald.service

检查journal是否运行正常以及日志文件是否完整无损坏

journalctl --verify

日志的配置文件

/etc/systemd/journald.conf

更多：https://www.cnblogs.com/askword/p/14506430.html

简略介绍

linux 两种日志系统

journald日志系统 :

        在采用 systemd 的 Linux 发行版中，系统日志通常通过 journald 来管理，并且存储在 systemd 的 journal 中

传统日志系统: 

         /var/log 目录下的文件中

 /var/log 传统日志系统

 /var/log 常见的日志类型包括：

/var/log/messages 系统启动后的信息和错误日志，几乎所有的开机系统发生的错误都会在此记录;（系统日志文件：组件的消息、警告、错误，记录更高级别的系统日志信息。包括系统服务的启动和停止信息、登录和权限问题、内核模块加载和卸载等信息。）

/var/log/secure 与安全相关的日志信息

/var/log/cron 与定时任务相关的日志信息

/var/log/spooler 与UUCP和news设备相关的日志信息

/var/log/boot.log 记录一些开机或者关机启动的一些服务显示的启动或者关闭的信息;

journald日志系统(systemd-journald)

`systemd-journald` 日志负责收集和管理整个系统的日志信息，包括内核消息、系统服务和用户级别的日志。这些日志通过 `systemd-journald` 存储为二进制格式，并位于 `/var/log/journal/` 目录下。

(journald 服务的日志通常保存在 /run/log/journal/ 目录下，但这个目录的内容可能会被清空。为了持久化保存 journal 日志，可以配置 journald 将日志转储到 /var/log/journal/ 目录下。)

总之,/var/log/*传统的文本日志文件，而 `systemd-journald` 是现代的二进制日志记录服务。与传统的日志文件相比，`systemd-journald` 提供了更强大、更灵活的日志管理和查询功能，同时还能够处理更多来源的日志信息。

dmesg 是一个工具,

dmesg 是一个工具,既不属于/var/log 传统日志系统 也不属于journald日志系统,dmesg 命令查看的内核消息可以被重定向或捕获到日志文件中，这取决于系统的配置和日志管理机制。

dmesg 启动内核产生的消息

dmesg 显示或控制内核环形缓冲区内容的,这些消息是在系统启动过程中产生的，但也可能是在系统运行过程中由内核生成的。

Linux系统中，内核产生的消息首先会被写入到内核环形缓冲区中。这些消息包括系统启动时的信息、设备驱动加载情况、硬件错误以及其他内核级别的活动。

为了持久化保存这些消息以供后续分析和调试，系统通常会配置日志守护进程来监听内核消息，并将其写入到日志文件中。这些日志文件通常位于/var/log目录下，例如/var/log/messages、/var/log/syslog或/var/log/kern.log等。具体的文件名和位置可能因不同的Linux发行版和日志配置而有所差异。

journalctl是什么？（查看系统日志的工具）

journalctl 是一个用于访问和管理 systemd 日志的命令行工具,可以查看和分析系统日志，以便诊断和解决问题。它可以提供有关服务、进程、启动过程和系统事件的详细信息。

systemd 日志默认存储在 `/var/log/journal/` 目录下。具体而言，系统的二进制日志文件存储在 `/var/log/journal/system.journal` 中。

在 `/var/log/journal/` 目录下，您还会找到其他文件和目录，包括：

- `system.journal~`：这是系统日志的旧版本备份文件，当系统进行日志轮转（log rotation）时，旧的 `system.journal` 文件会被重命名为此文件。

- `user` 目录：该目录包含每个用户的个人日志目录。每个用户的日志以其用户ID号命名，例如 `/var/log/journal/user/1000` 是用户ID为1000的用户的个人日志目录。

请注意，这些路径是默认设置，实际可能因为操作系统的配置和定制而有所不同。

区别的简单说明

journalctl -t 和 journalctl -u 

-t范围更窄, -u范围更广,-u指定的服务其调用或启动的进程/资源都会列出来?

journalctl -t 和 journalctl -u 是 journalctl 命令的两个不同选项，用于过滤和查看 systemd journal 中的日志。它们之间的主要区别在于过滤日志的方式和目的。

journalctl -t [TAG]：

-t或--identifier` 选项允许你通过日志条目的标识符（通常是一个服务名或特定的日志标签）来过滤日志。使用这个选项，你可以查看特定服务或组件生成的日志条目。

例如，如果你想要查看与 SSH 服务相关的日志，你可以使用 journalctl -t sshd 命令。这将显示所有包含 sshd 标识符的日志条目。

journalctl -u [UNIT]：

-u或--unit` 选项允许你通过 systemd 的单元名称来过滤日志。systemd 单元可以是服务、套接字、设备、挂载点等。使用这个选项，你可以查看特定 systemd 单元在启动和运行期间产生的所有日志条目。

例如，如果你想要查看名为 nginx.service 的服务的日志，你可以使用 journalctl -u nginx.service 命令。这将显示与 nginx.service 单元相关的所有日志条目，包括其启动日志和运行时的日志。

总结：

journalctl -t 是基于日志条目的标识符来过滤日志的，通常用于查看特定服务或组件的日志。journalctl -u 是基于 systemd 单元名称来过滤日志的，用于查看特定 systemd 单元（如服务）的日志，包括其启动和运行时的日志。

根据你的需要，你可以选择使用合适的选项来查看你感兴趣的日志。如果你知道你想要查看的服务的 systemd 单元名称，使用 -u 选项可能更直接。如果你只知道服务的名称或日志标签，使用 -t 选项可能更合适。

/var/log/messages 和 systemd-journald 

/var/log/messages 和 systemd-journald 是两种不同的日志系统，它们各自有不同的特点和记录范围。

/var/log/messages 是传统的 Linux 系统日志文件，记录了系统运行时的各种状态消息，包括系统启动时的引导信息、IO 错误、网络错误和其他系统错误等。此外，它还记录了用户身份切换为 root 等安全相关信息。这个日志文件通常用于故障诊断和安全性分析。

systemd-journald 是 systemd 的一部分，提供了一种新的系统日志管理方式。它不仅收集来自内核、系统早期启动阶段的日志，还收集系统守护进程在启动和运行中的标准输出和错误信息。此外，它还能记录 syslog 的日志。systemd-journald 将日志集中保存在单一结构的日志文件中，并且由于日志是压缩和格式化的二进制数据，所以在查看和定位时非常迅速。然而，需要注意的是，systemd-journald 默认并不会持久化保存所有日志，只会保留一段时间的日志，具体保留时间取决于系统配置。

关于哪个记录更全，这取决于具体的系统配置和日志策略。传统的 /var/log/messages 文件记录了系统运行的广泛信息，但可能不包括 systemd 管理的服务的日志。而 systemd-journald 则能够记录更多类型的日志，包括内核日志、系统服务日志等，但它可能不会保存所有日志，特别是如果系统配置了日志轮循或清理策略。

因此，为了获得最全面的日志记录，可能需要同时查看 /var/log/messages 和 systemd-journald 的日志。同时，根据实际需求，管理员可以配置和调整日志记录策略，以确保捕获到所需的关键信息。

systemd日志（systemd-journald） 放在哪个目录

systemd 日志默认存储在 `/var/log/journal/` 目录下。具体而言，系统的二进制日志文件存储在 `/var/log/journal/system.journal` 中。

在 `/var/log/journal/` 目录下，您还会找到其他文件和目录，包括：

- `system.journal~`：这是系统日志的旧版本备份文件，当系统进行日志轮转（log rotation）时，旧的 `system.journal` 文件会被重命名为此文件。

- `user` 目录：该目录包含每个用户的个人日志目录。每个用户的日志以其用户ID号命名，例如 `/var/log/journal/user/1000` 是用户ID为1000的用户的个人日志目录。

请注意，这些路径是默认设置，实际可能因为操作系统的配置和定制而有所不同。

`journalctl -h` 的输出

```

journalctl [选项…] [过滤表达式]

查看 systemd 日志。

选项：

  -h --help                       显示此帮助信息并退出

     --version                    显示软件包版本信息

  -a --all                        显示所有可用的日志数据

  -b --boot[=ID|±N]               显示引导 ID 或相对偏移引导的日志数据

  -k --dmesg                      显示内核日志

  -c --cursor=CURSOR              使用指定的游标开始读取日志数据

  -u --unit=UNIT                  仅显示与单元/服务名称匹配的日志

                                    此选项可多次使用

  -g --grep=EXPR                  搜索日志数据中匹配的表达式

     --quiet                      减少冗长的输出

     --no-pager                   不要使用分页器

     --no-tail                    不要 `tail -f` 跟踪新的日志条目

     --output=FORMAT              设置日志输出格式

     --verify                     验证日志数据文件的完整性

     --vacuum                      清理/压缩日志存档

     --disk-usage                  显示磁盘使用情况

  -D --directory=DIRECTORY        设置日志数据文件存储目录

  -F --field=FIELD                仅显示具有指定字段的日志数据

  -n --lines[=INTEGER]            设置要显示的日志行数

  -r --reverse                    反向显示日志条目

  -e --pager-end                  加载日志的末尾并定位到最新条目

  -o --output-fields=FIELDS       设置要显示的字段列表

  -f --follow                     跟踪日志文件的变化

  -t --identifier=SYSLOG_IDENTIFIER

                                  仅显示包含给定标识符的日志条目

  -p --priority=LEVEL             仅显示具有指定优先级的日志条目

  -S --since[=TIMESTAMP]          显示在指定时间戳之后的日志

  -U --until=TIMESTAMP            显示在指定时间戳之前的日志

     --since-cursor=CURSOR        显示在指定游标之后的日志

     --until-cursor=CURSOR        显示在指定游标之前的日志

  -M --machine=CONTAINER          仅显示与给定容器匹配的日志

  -N --not                         在结果中反转条件

  -r --system                     显示系统日志

  -r --user[=USER]                 显示用户日志

  -w --wall                       当前 tty 上显示新的内核消息

     --new-mode                    在有新日志时进入新模式

     --no-rate-limit              无条件显示所有日志数据

     --no-pager-limit             显示所有条目，不受分页器限制

     --no-full                    不要进行完整性检查

     --quiet                        不要显示所有条目的详细信息

     --no-pager-quiet              禁用详细信息的分页输出

     --verify-key=keyid/subdesc    验证已签名的日志数据文件的签名

  -b --since-boot[=SPAN]          在最近的引导过程中显示日志

     --interval=INTERVAL          设置日志捕获的间隔

     --reverse                      反向按时间顺序显示

     --no-hostname                 不要打印主机名

     --no-full-field               不要打印字段描述符

     --no-header-field             不要打印消息头字段

     --output-fields-width=WIDTH   设置字段输出宽度的最佳规则

过滤表达式：

  过滤表达式可以基于日志数据属性（例如，单元）或字段（例如，MESSAGE）进行搜索。

  过滤表达式使用方括号 `[` 和 `]` 包围，并支持下列操作：

    =,  !=

    <, <=