Как да преглеждате и анализирате регистрационните файлове в Linux с journalctl

Регистрационните съобщения са важни за одита и поддържането на здрава Linux система. Всеки компютър с Linux съхранява регистрационни съобщения за различни услуги или работни места. Това ръководство ще разгледа как да четете и анализирате регистрационни съобщения с помощта journalctl, инструмент за команден ред за четене на регистрационни съобщения, написани от журнал.

Какво е Journald?

Journald е услуга за системно регистриране, която обединява регистрационни съобщения в дневник. Той е част от системния демон, който отговаря за регистрирането на събития в Linux. Списанието е просто двоичен файл, използван за съхраняване на регистрационни съобщения, генерирани от journald.

Съобщенията в дневника на дневника не са постоянни, защото се съхраняват в RAM, което е променлива форма на съхранение. По подразбиране журналите на журнал се губят или изтриват, когато компютърът се рестартира или загуби захранване. Linux разпределя фиксирано количество RAM за регистрационните файлове, за да избегне запушване на паметта на вашата система.

Как да използвам командата journalctl

Можете да използвате journalctl, за да запитвате системните дневници или журнали на журнали. Системата индексира всички дневници на журнала, за да подобри ефективността при четене на съобщения от дневника.

Забележка: Това ръководство използва Судо за стартиране на команди, използващи повишени привилегии, тъй като командата journalctl няма да изброява всички регистрационни съобщения, когато го стартирате като обикновен потребител на Linux.

Преглед на всички регистрационни съобщения

За да видите всички журнали на журнали, просто изпълнете командата journalctl без аргументи:

sudo journalctl

Командата journalctl ще изброи всички журнали на журналисти във вашата система в хронологичен ред. Командата използва по-малко във фонов режим, което ви дава същата навигационна способност, каквато обикновено бихте имали с командата с по-малко. Например можете да навигирате в дневниците с помощта на F и Б. клавиши на клавиатурата.

Ако искате да промените реда, в който системата извежда регистрационните файлове, т.е. първо да покажете най-новия, можете да използвате -r флаг с командата. The -r флаг означава Обратен.

sudo journalctl -r

Преглед на дневниците на дневника на ядрото

Дневниците на ядрото са много важни за Linux, тъй като съдържат информация, свързана с вашата система от момента на стартиране. За да видите само дневниците на ядрото, посочете -к флаг с командата journalctl:

sudo journalctl -k

В резултата ще се изброи и част от информацията за ядрото, като версията на ядрото и неговото име.

Свързани: Какво представлява ядрото в Linux и как проверявате версията си?

Филтрирайте журналите на journald по конкретна програма

Можете също да преглеждате дневници, свързани с конкретна програма или услуга, използвайки journalctl. Например, за да видите регистрационни файлове, свързани с cron услуга, изпълнете командата по-долу:

sudo journalctl -u cron

Преглеждайте дневниците в реално време

Понякога може да искате да преглеждате дневниците в реално време, докато се регистрират. За това издайте следната команда:

sudo journalctl -f

Използвай Ctrl + C клавишна комбинация за излизане от изгледа в реално време.

Вземете регистрационни съобщения по дата

Можете да използвате journalctl, за да филтрирате и анализирате дневниците, като използвате клеймо за време. Например, за да се покажат дневниците от вчера до сега:

sudo journalctl --since = вчера

Можете да бъдете по-конкретни, като използвате подробен клеймо "от" и "до", както следва:

sudo journalctl --since = "2021-07-17 12:00:00" --until = "2021-07-17 15:00:00"

Journalctl ще показва регистрационните съобщения само за посочения период.

Преглед на регистрационните съобщения по UID или PID

Можете също да филтрирате журналите на журнали, като използвате потребителския идентификатор (UID) или идентификатора на процеса (PID). Основният синтаксис е:

sudo journalctl _UID = 0

... където 0 е UID за основния акаунт. Можете също така да замените UID в гореспоменатата команда с PID или GID (идентификатор на група).

Форматиране на изхода на journalctl

За да преглеждате дневниците на journalctl, използвайки определен изходен формат, трябва да използвате journalctl -o команда, последвана от предпочитания от вас формат. Например, за да покажете дневниците в доста JSON формат, изпълнете командата по-долу:

sudo journalctl -o json-pretty

Изход:

Свързани: Първи стъпки със системното регистриране в Linux

Конфигуриране на journald на Linux

Това ръководство ви показа как да преглеждате и анализирате журнални съобщения на журнали на Linux с помощта на командата journalctl. The /var/log/journal директория съхранява всички дневници на журнали. Имайте предвид, че не всички дистрибуции на Linux имат активиран журнал по подразбиране.

Можете да използвате /etc/systemd/journald.conf файл, за да конфигурирате или да промените конфигурацията на journald на вашия компютър. Освен ефективна услуга за регистриране, има още няколко инструмента, които са задължителни, ако сте сериозни по отношение на сигурността на вашите Linux сървъри.

6 Трябва да имате инструменти с отворен код, за да защитите вашия Linux сървър

Не искате да правите компромиси със сигурността на вашия Linux сървър? Инсталирайте тези шест инструмента, за да създадете непроницаема мрежа.

Прочетете Напред

За автора

Разгънете, за да прочетете цялата история