Kā apskatīt un analizēt žurnālus operētājsistēmā Linux, izmantojot journalctl

Žurnāla ziņojumi ir svarīgi veselīgas Linux sistēmas auditēšanai un uzturēšanai. Katrs Linux dators saglabā žurnālus ziņojumus par dažādiem pakalpojumiem vai darbiem. Šajā rokasgrāmatā tiks izpētīts, kā lasīt un analizēt žurnālziņojumus, izmantojot journalctl, komandrindas rīks žurnāla ziņojumu lasīšanai, ko rakstījis žurnālists.

Kas ir žurnālalds?

Journald ir sistēmas reģistrēšanas pakalpojums, kas žurnāla ziņojumus apkopo žurnālā. Tā ir daļa no systemd dēmona, kas ir atbildīgs par notikumu reģistrēšanu Linux. Žurnāls ir vienkārši binārs fails, ko izmanto žurnāla ģenerēto žurnālziņu glabāšanai.

Žurnālu žurnāla ziņojumi nav noturīgi, jo tie tiek glabāti RAM, kas ir nepastāvīga glabāšanas forma. Pēc noklusējuma žurnāla žurnāli tiek pazaudēti vai izdzēsti ikreiz, kad dators tiek restartēts vai zaudē strāvu. Lai izvairītos no sistēmas atmiņas aizsērēšanas, Linux žurnāliem piešķir noteiktu daudzumu RAM.

Kā izmantot komandu journalctl

Varat izmantot journalctl, lai vaicātu systemd žurnālā vai žurnāla žurnālos. Sistēma indeksē visus žurnāla žurnālus, lai uzlabotu efektivitāti, lasot žurnāla ziņojumus no žurnāla.

Piezīme: Šī rokasgrāmata izmanto sudo lai palaistu komandas, izmantojot paaugstinātas privilēģijas, jo komandā journalctl netiks uzskaitīti visi žurnāla ziņojumi, palaižot to kā parastu Linux lietotāju.

Skatīt visus žurnāla ziņojumus

Lai skatītu visus žurnāla žurnālus, vienkārši palaidiet komandu journalctl bez jebkādiem argumentiem:

sudo journalctl

Komanda journalctl uzskaitīs visus žurnāla žurnālus jūsu sistēmā hronoloģiskā secībā. Komanda izmanto mazāk fonā, kas nodrošina tādas pašas navigācijas iespējas kā parasti ar mazāku komandu. Piemēram, jūs varat pārvietoties pa žurnāliem, izmantojot F un B tastatūras taustiņi.

Ja vēlaties mainīt secību, kādā sistēma izdod žurnālus, t.i., vispirms parādiet jaunāko, varat izmantot -r karodziņš ar komandu. The -r karogs apzīmē Reverss.

sudo journalctl -r

Skatīt kodola žurnāla žurnālus

Kodola žurnāli ir ļoti svarīgi operētājsistēmā Linux, jo tie satur informāciju, kas saistīta ar jūsu sistēmu kopš tā palaišanas. Lai skatītu tikai kodola žurnālus, norādiet -k karodziņš ar komandu journalctl:

sudo journalctl -k

Izejā tiks norādīta arī informācija par kodolu, piemēram, kodola versija un tās nosaukums.

Saistīts: Kas ir kodols operētājsistēmā Linux un kā jūs pārbaudāt savu versiju?

Filtrējiet žurnāla žurnālus pēc īpašas programmas

Izmantojot journalctl, varat arī apskatīt žurnālus, kas saistīti ar noteiktu programmu vai pakalpojumu. Piemēram, lai skatītu žurnālus, kas saistīti ar krons pakalpojumu, palaidiet zemāk esošo komandu:

sudo journalctl -u cron

Skatiet žurnāla ziņojumus reāllaikā

Dažreiz žurnālus varētu vēlēties apskatīt reāllaikā, kad tie tiek reģistrēti. Lai to izdarītu, izsniedziet šādu komandu:

sudo journalctl -f

Izmantojiet Ctrl + C īsinājumtaustiņš, lai izietu no reāllaika skata.

Saņemt žurnāla ziņojumus pēc datuma

Jūs varat izmantot journalctl, lai filtrētu un analizētu žurnālus, izmantojot laika zīmogu. Piemēram, lai parādītu žurnālus no vakardienas līdz šim:

sudo journalctl --since = vakar

Varat būt precīzāks, izmantojot detalizētu laika zīmogu "kopš" un "līdz":

sudo journalctl --since = "2021-07-17 12:00:00" --until = "2021-07-17 15:00:00"

Journalctl parādīs žurnāla ziņojumus tikai par norādīto periodu.

Skatīt žurnāla ziņojumus pēc UID vai PID

Varat arī filtrēt žurnāla žurnālus, izmantojot lietotāja ID (UID) vai procesa ID (PID). Pamata sintakse ir:

sudo journalctl _UID = 0

... kur 0 ir root konta UID. Varat arī aizstāt UID iepriekšminētajā komandā ar PID vai GID (grupas ID).

Journalctl izejas formatēšana

Lai skatītu journalctl žurnālus, izmantojot noteiktu izvades formātu, jums jāizmanto journalctl -o komandu, kam seko vēlamais formāts. Piemēram, lai žurnāli tiktu parādīti diezgan JSON formātā, izpildiet tālāk norādīto komandu:

sudo journalctl -o json-pretty

Izeja:

Saistīts: Darba sākšana ar sistēmas reģistrēšanu Linux

Žurnāla konfigurēšana operētājsistēmā Linux

Šajā rokasgrāmatā ir parādīts, kā apskatīt un analizēt žurnāla žurnāla ziņojumus Linux, izmantojot komandu journalctl. The /var/log/journal direktorijā tiek glabāti visi žurnāla žurnāli. Ņemiet vērā, ka ne visos Linux distros pēc noklusējuma ir iespējots žurnāls.

Jūs varat izmantot /etc/systemd/journald.conf failu, lai konfigurētu vai veiktu izmaiņas žurnāla konfigurācijā datorā. Papildus efektīvam mežizstrādes pakalpojumam ir vairāki citi rīki, kas ir nepieciešami, ja nopietni domājat par savu Linux serveru drošību.

6 obligāti atvērta pirmkoda rīki, lai aizsargātu jūsu Linux serveri

Vai nevēlaties kompromitēt sava Linux servera drošību? Instalējiet šos sešus rīkus, lai izveidotu necaurejamu tīklu.

Lasiet Tālāk

Par autoru

Izvērsiet, lai lasītu visu stāstu