18、Linux 日志管理：配置、查看与分析

Linux日志管理核心工具与实践

像素大盗

于 2025-09-03 15:19:48 发布

阅读量39

点赞数

CC 4.0 BY-SA版权

分类专栏： Linux系统管理实战精要文章标签： Linux日志管理 logrotate journalctl

本文链接：https://blog.youkuaiyun.com/2w3e4r5t6y/article/details/151350788

Linux系统管理实战精要专栏收录该内容

24 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

Linux 日志管理：配置、查看与分析

1. 日志轮转（Log Rotation）

在 Linux 系统中，随着时间的推移，应用程序和服务会不断生成日志数据，这可能导致日志文件变得非常大，不仅占用大量磁盘空间，还可能影响系统性能。日志轮转（Log Rotation）是一种有效管理日志文件的方法，它可以定期压缩、存档和删除旧的日志文件，确保系统的日志历史记录易于管理。

1.1 日志轮转工具：logrotate

在 Linux 中，日志轮转通常由 logrotate 工具处理。 logrotate 的主配置文件位于 /etc/logrotate.conf ，该文件会引用 /etc/logrotate.d/ 目录下的各个日志轮转配置文件。

1.2 配置日志轮转的步骤

以下是在 Linux 中配置日志轮转的详细步骤：
1. 安装 logrotate（如果尚未安装） ：大多数 Linux 发行版都预装了 logrotate 。如果你的系统中没有安装，可以使用特定于发行版的包管理器进行安装。例如，在基于 Debian/Ubuntu 的系统上，可以使用以下命令安装：

sudo apt-get update
sudo apt-get install logrotate

创建日志轮转配置文件 ：你可以为特定的应用程序或服务创建新的日志轮转配置文件，也可以使用默认配置文件。为了便于管理，建议为不同的应用程序创建单独的配置文件。

sudo nano /etc/logrotate.d/myapp_logrotate

在配置文件中定义日志轮转设置 ： logrotate 配置文件遵循特定的语法。以下是一个基本示例：

/path/to/your/logfile.log {
    rotate <N>      # 保留的日志文件数量，超过则删除
    daily           # 轮转频率（每日、每周、每月等）
    missingok       # 如果日志文件缺失，不抛出错误
    notifempty      # 不轮转空的日志文件
    compress        # 使用 gzip 压缩轮转后的日志文件
    create <mode> <user> <group> # 创建具有指定权限、用户和组的新空日志文件
}

将 /path/to/your/logfile.log 替换为实际的日志文件路径， <N> 替换为你希望保留的日志文件数量（例如， rotate 7 表示保留 7 天的日志）， <mode> 、 <user> 和 <group> 替换为新创建日志文件的适当权限和所有权。保存配置文件并退出文本编辑器。
4. 测试配置 ：为了检查 logrotate 配置是否无错误，可以运行以下命令：

sudo logrotate -d /etc/logrotate.d/myapp_logrotate

-d 标志用于调试，它会显示 logrotate 将要执行的操作，但不会实际轮转日志文件。
5. 手动执行日志轮转 ：确认配置正确后，可以使用以下命令手动触发日志轮转：

sudo logrotate /etc/logrotate.d/myapp_logrotate

设置定时任务 ：为了实现日志轮转的自动化，可以设置一个定时任务，定期运行 logrotate 。可以使用以下命令编辑 crontab ：

sudo crontab -e

然后添加以下行，以在每天午夜运行 logrotate ：

0 0 * * * /usr/sbin/logrotate /etc/logrotate.conf

保存 crontab 并退出文本编辑器。

1.3 日志轮转流程

graph LR
    A[安装 logrotate] --> B[创建配置文件]
    B --> C[定义轮转设置]
    C --> D[测试配置]
    D --> E{配置是否正确?}
    E -- 是 --> F[手动轮转日志]
    E -- 否 --> C
    F --> G[设置定时任务]

2. Journald

Journald 是 systemd 的一部分，它负责收集来自启用 systemd 的 Linux 机器各个部分的消息，包括内核和启动过程的通知、syslog 以及其他服务的消息。

2.1 Journald 的优势

传统上，在 Linux 启动过程中，操作系统的许多子系统和应用程序守护进程会将消息分别记录在文本文件中，每个子系统的消息记录详细程度不同。在故障排除时，管理员通常需要筛选跨越不同时间段的多个文件中的消息，然后关联其内容。Journald 的日志记录功能通过集中记录所有系统和应用程序级别的消息，消除了这个问题。

2.2 Journald 的存储位置

当 systemd 使用内存中的日志记录时，日志文件会在 /run/log/journal 文件夹下生成。如果该目录不存在，系统会自动创建。
日志也可以持久存储在 /var/log/journal 目录中。如果该目录不存在，systemd 会在必要时创建它。如果 /var/log/journal 目录被删除，日志将以非持久的方式写入 /run/log/journal ， systemd-journald 不会自动重新创建该目录，只有在守护进程重启时才会重新创建。

2.3 使用 journalctl 查看系统日志

journalctl 命令对于调试服务和进程非常有用，它允许你查看和修改 systemd 日志。以下是一些常用的 journalctl 命令示例：
- 显示所有日志条目 ：

journalctl

输出示例：

-- Logs begin at Wed 2023-01-18 14:07:03 GMT, end at Wed 2023-01-18 14:09:39 GMT. --
Jan 18 14:07:03 centos8 kernel: microcode: microcode updated early to revision 0xd6, date = 2019-10-03
...

输出显示了日志数据的时间范围，各列从左到右依次包含日期和时间、主机、日志源和日志消息。
- 显示当前启动的日志 ：

journalctl -b

显示最近 10 分钟的日志 ：

journalctl -S "10 minutes ago"

仅显示内核日志消息 ：

journalctl -k

根据优先级过滤日志消息 ：

journalctl -p <number or text priority>

优先级级别如下表所示：
| 优先级 | 数字 | 文本 |
| ---- | ---- | ---- |
| 紧急 | 0 | emerg |
| 警报 | 1 | alert |
| 严重 | 2 | crit |
| 错误 | 3 | err |
| 警告 | 4 | warning |
| 通知 | 5 | notice |
| 信息 | 6 | info |
| 调试 | 7 | debug |

你可以使用 man journalctl 命令查看 journalctl 的所有可用参数。

3. DMESG

dmesg 是 Linux 中的一个命令行工具，用于查看内核环形缓冲区（Kernel Ring Buffer）中的消息。内核环形缓冲区是内存中的一个循环缓冲区，用于存储内核生成的消息，如硬件事件、设备驱动信息和系统错误消息。

3.1 dmesg 的用途

故障排除系统问题 ：通过显示错误消息、警告和其他相关信息，帮助识别和诊断系统问题。
检查硬件状态 ：提供有关硬件设备和驱动程序的信息，例如设备何时被检测到或驱动程序何时加载失败。
监控系统事件 ：可以监控系统事件，如用户插入 USB 设备或系统服务启动或停止。

3.2 常用的 dmesg 选项

-T ：以人类可读的格式显示时间戳。
-H ：以更易读的格式显示输出。
-l level ：仅显示指定日志级别的消息（debug、info、notice、warning、err、crit、alert 或 emerg）。
-k ：仅显示内核消息。

3.3 查看内核环形缓冲区消息

dmesg -T | less

添加 -T 选项是为了以可读格式显示时间戳， less 用于使输出可滚动。

3.4 实时监控内核消息

dmesg --follow 命令是 dmesg 的一个变体，它会持续显示内核环形缓冲区中生成的新消息。

dmesg --follow

该命令会显示最新的内核消息，并实时显示新生成的消息。这对于监控系统事件或实时诊断问题非常有用。不过，由于该命令会持续输出新消息，输出可能会很快变得难以阅读。要停止 dmesg 命令的运行，可以在终端中按下 Ctrl + C 。

3.5 其他常用操作

查看最后 15 条消息 ：

dmesg | tail -15

搜索特定术语（例如，memory） ：

dmesg | grep -i memory

4. 理解 Linux 中的环形缓冲区

当计算机开机时，会按照特定顺序发生一系列事件。在 Linux 和类 Unix 系统中，这些事件分别被称为启动（Booting）和初始化（Startup）。

4.1 系统启动过程

系统启动过程包括 BIOS 或 UEFI、MBR 和 GRUB 等引导程序完成系统初始化后，内核被加载到内存中，初始 RAM 磁盘（initrd 或 initramfs）与内核连接，然后启动 systemd。操作系统将控制权交给启动例程，完成系统设置。

4.2 内核环形缓冲区的作用

在系统首次启动时，像 syslogd 和 rsyslogd 这样的日志守护进程可能需要一段时间才能开始工作。为了确保在这个初始化阶段的关键错误消息和警告不会丢失，内核使用环形缓冲区作为消息缓存。

4.3 环形缓冲区的特点

环形缓冲区是内存中的一个特殊区域，用于存储消息。它具有固定的大小和简单的结构，当缓冲区满时，新的消息会覆盖旧的消息。从概念上讲，它可以看作是一个循环缓冲区。

4.4 环形缓冲区存储的信息

内核环形缓冲区存储了设备驱动程序初始化消息、硬件消息和内核模块消息等信息。由于这些低级别消息的存在，环形缓冲区是排查硬件故障或其他启动问题的理想起点。

4.5 使用 dmesg 查看环形缓冲区消息

通过 dmesg 命令可以查看系统环形缓冲区中保存的消息日志。例如：

dmesg -T | less

4.6 dmesg –follow 的应用场景

监控硬件事件 ：在排查硬件问题时，可以使用 dmesg --follow 监控插拔设备或与硬件交互时的内核消息。
调试系统问题 ：在诊断系统问题时，该命令可以帮助你实时了解系统的运行情况，识别可能导致问题的模式或异常。
监控系统健康 ：通过观察内核环形缓冲区中生成的错误消息和警告，可以及时发现系统的潜在问题。

总之， dmesg 是一个强大的工具，它为你提供了深入了解 Linux 系统内部工作原理的窗口，帮助你排查系统问题和监控系统事件。通过合理使用 logrotate 、 journalctl 和 dmesg 等工具，你可以更好地管理和分析 Linux 系统的日志信息，确保系统的稳定运行。

5. 日志管理工具总结

5.1 工具对比

工具名称	功能概述	适用场景
logrotate	定期压缩、存档和删除旧日志文件，管理日志文件大小和数量	当日志文件增长过快，占用大量磁盘空间时，用于控制日志文件的存储
journalctl	查看和管理 systemd 收集的系统和应用程序日志	故障排除时，需要集中查看系统和应用程序级别的消息
dmesg	查看内核环形缓冲区中的消息，如硬件事件、驱动信息等	排查系统硬件问题、监控系统启动和运行时的内核消息

5.2 综合使用建议

在实际的 Linux 系统日志管理中，可以综合使用这些工具。例如，使用 logrotate 确保日志文件不会无限增长，使用 journalctl 快速定位系统和应用程序的问题，使用 dmesg 深入了解内核和硬件相关的情况。当遇到系统故障时，可以先使用 journalctl 查看整体的系统日志，确定大致的问题范围；如果怀疑是硬件问题，再使用 dmesg 查看内核消息；同时，定期运行 logrotate 来清理旧日志，保持系统的磁盘空间。

6. 日志分析流程示例

6.1 故障排查流程

graph LR
    A[发现系统问题] --> B[使用 journalctl 查看系统日志]
    B --> C{是否定位到问题?}
    C -- 是 --> D[解决问题]
    C -- 否 --> E[使用 dmesg 查看内核消息]
    E --> F{是否找到硬件或内核问题?}
    F -- 是 --> G[解决硬件或内核问题]
    F -- 否 --> H[进一步分析日志或寻求帮助]
    D --> I[验证系统是否恢复正常]
    G --> I
    H --> I
    I --> J{系统是否正常?}
    J -- 是 --> K[结束排查]
    J -- 否 --> B

6.2 具体操作步骤

发现系统问题 ：例如系统运行缓慢、服务无法启动等。
使用 journalctl 查看系统日志 ：
- 显示所有日志条目： journalctl
- 根据时间范围查看： journalctl -S "特定时间"
- 根据优先级过滤： journalctl -p <number or text priority>
初步定位问题 ：如果通过 journalctl 找到了相关的错误或警告信息，尝试根据这些信息解决问题。
使用 dmesg 查看内核消息 ：如果 journalctl 未能定位问题，使用 dmesg 进一步排查。
- 以可读格式查看： dmesg -T | less
- 实时监控： dmesg --follow
分析内核消息 ：查找硬件相关的错误、驱动加载失败等信息，尝试解决硬件或内核问题。
进一步分析或寻求帮助 ：如果仍然无法解决问题，可以进一步分析日志的详细内容，或者向社区、技术支持人员寻求帮助。
验证系统是否恢复正常 ：解决问题后，检查系统的运行状态，确保问题已经解决。