Cum să vizualizați și să analizați jurnalele pe Linux cu journalctl

Mesajele jurnal sunt importante pentru auditul și menținerea unui sistem Linux sănătos. Fiecare computer Linux stochează mesaje de jurnal pentru diferite servicii sau joburi. Acest ghid va explora cum să citiți și să analizați mesajele jurnal folosind journalctl, un instrument din linia de comandă pentru citirea mesajelor jurnal scrise de journald.

Ce este Journald?

Journald este un serviciu de înregistrare a sistemului care agregează mesajele jurnal într-un jurnal. Este o parte a demonului systemd care este responsabil pentru înregistrarea evenimentelor în Linux. Jurnalul este pur și simplu un fișier binar utilizat pentru stocarea mesajelor jurnal generate de journald.

Mesajele jurnalului de jurnal nu sunt persistente, deoarece sunt stocate în RAM, care este o formă volatilă de stocare. În mod implicit, jurnalele journald sunt pierdute sau șterse ori de câte ori computerul dvs. repornește sau își pierde puterea. Linux alocă o cantitate fixă ​​de RAM jurnalelor periodice pentru a evita înfundarea memoriei sistemului.

Cum se folosește comanda journalctl

Puteți utiliza journalctl pentru a interoga jurnalele systemd sau jurnalele journal. Sistemul indexează toate jurnalele jurnal pentru a îmbunătăți eficiența la citirea mesajelor jurnal din jurnal.

Notă: Acest ghid folosește sudo pentru a rula comenzi folosind privilegii ridicate, deoarece comanda journalctl nu va afișa toate mesajele jurnal atunci când îl rulați ca utilizator obișnuit de Linux.

Vizualizați toate mesajele jurnal

Pentru a vizualiza toate jurnalele journald, pur și simplu executați comanda journalctl fără niciun argument:

sudo journalctl

Comanda journalctl va afișa toate jurnalele jurnal din sistemul dvs. în ordine cronologică. Comanda folosește Mai puțin în fundal, care vă oferă aceeași abilitate de navigare pe care ați avea-o în general cu comanda mai mică. De exemplu, puteți naviga prin jurnalele folosind F și B tastele de pe tastatură.

Dacă doriți să modificați ordinea în care sistemul scoate jurnalele, adică afișați mai întâi cea mai recentă, puteți utiliza -r steag cu comanda. -r steag înseamnă Verso.

sudo journalctl -r

Vizualizați jurnalele Kernel journald

Jurnalele de nucleu sunt foarte importante pe Linux, deoarece conțin informații legate de sistemul dvs. din momentul pornirii. Pentru a vizualiza numai jurnalele de nucleu, specificați -k semnalizați cu comanda journalctl:

sudo journalctl -k

Ieșirea va enumera, de asemenea, câteva informații despre nucleu, cum ar fi versiunea nucleului și numele său.

Legate de: Ce este un nucleu în Linux și cum vă verificați versiunea?

Filtrează jurnalele jurnal după un program specific

De asemenea, puteți vizualiza jurnalele legate de un anumit program sau serviciu folosind journalctl. De exemplu, pentru a vizualiza jurnalele asociate cu cron service, executați comanda de mai jos:

sudo journalctl -u cron

Vizualizați mesajele jurnal în timp real

Uneori s-ar putea să doriți să vizualizați jurnalele în timp real pe măsură ce acestea sunt înregistrate. Pentru aceasta, lansați următoarea comandă:

sudo journalctl -f

Folosește Ctrl + C comandă rapidă de la tastatură pentru a ieși din vizualizarea în timp real.

Obțineți mesaje jurnal după dată

Puteți utiliza journalctl pentru a filtra și analiza jurnalele folosind un timestamp. De exemplu, pentru a afișa jurnalele de ieri până acum:

sudo journalctl --de când = ieri

Puteți fi mai specific utilizând un marcaj de timp „de când” și „până”, după cum urmează:

sudo journalctl --since = "2021-07-17 12:00:00" --until = "2021-07-17 15:00:00"

Journalctl va afișa mesajele jurnal numai pentru perioada specificată.

Vizualizați mesajele jurnal după UID sau PID

De asemenea, puteți filtra jurnalele jurnal folosind ID-ul de utilizator (UID) sau ID-ul procesului (PID). Sintaxa de bază este:

sudo journalctl _UID = 0

... unde 0 este UID pentru contul root. De asemenea, puteți înlocui UID în comanda menționată mai sus cu PID sau GID (ID grup).

Formatarea ieșirii journalctl

Pentru a vizualiza jurnalele journalctl utilizând un format de ieșire specific, ar trebui să utilizați journalctl -o comandă urmată de formatul preferat. De exemplu, pentru a afișa jurnalele într-un format JSON frumos, rulați comanda de mai jos:

sudo journalctl -o json-pretty

Ieșire:

Legate de: Noțiuni introductive despre înregistrarea sistemului în Linux

Configurarea journald pe Linux

Acest ghid v-a arătat cum să vizualizați și să analizați mesajele jurnalului jurnal pe Linux folosind comanda journalctl. /var/log/journal director stochează toate jurnalele journald. Rețineți că nu toate distribuțiile Linux au activat în mod implicit journald.

Puteți utiliza /etc/systemd/journald.conf fișier pentru a configura sau a face modificări la configurația journald de pe computer. În afară de un serviciu eficient de înregistrare, există și alte câteva instrumente care sunt obligatorii dacă sunteți serios în legătură cu securitatea serverelor Linux.

6 Instrumente open-source obligatorii pentru a vă securiza serverul Linux

Nu doriți să faceți compromisuri cu privire la securitatea serverului dvs. Linux? Instalați aceste șase instrumente pentru a configura o rețea impenetrabilă.

Citiți în continuare

Despre autor

Extindeți pentru a citi povestea completă