Linux日志-journal日志

news2024/12/30 1:33:57

作者介绍：简历上没有一个精通的运维工程师。希望大家多多关注作者，下面的思维导图也是预计更新的内容和当前进度(不定时更新)。

Linux 系统中的日志是记录系统活动和事件的重要工具，它们可以帮助管理员监视系统状态、调查问题以及了解系统运行状况。主要涉及到系统日志，登录日志，定时任务日志，监控日志，崩溃日志，二进制日志等内容，这些日志都存储在/var/log目录下，有的日志文本格式，可以直接使用前面学到的tail cat 等命令分析，有的日志是二进制格式需要专门的命令才能解释，比如sa journal等。我们主要从以下几个方面来介绍Linux的日志情况。

1.Linux日志-message日志

2.Linux日志-secure日志

3.Linux日志-btmp日志

4.Linux日志-wtmp日志

5.Linux日志-lastlog日志

6.Linux日志-cron日志

7.Linux日志-sar日志

8.Linux日志-journal日志(本章节)

9.Linux日志-dmesg日志

10.Linux日志-kdump日志

11.Linux日志-日志小结

journal 是 Linux 系统中的系统日志管理工具，它是 systemd 的一部分，提供了一个集中的方式来收集、管理和查看系统日志。journal 相比传统的 syslogd 和 rsyslogd 等日志系统，具有更强的功能和灵活性。

所以，简单来说：journal并不是日志，而是日志管理工具。

统一的日志存储：
- 它将来自不同来源的日志信息集中存储在一个统一的日志系统中。这包括内核日志、系统服务日志、应用程序日志等。不再像传统的 Linux 日志系统那样分散在多个不同的文件中（如/var/log/messages、/var/log/syslog 等）。例如，当系统启动时，内核的初始化信息、各个服务的启动过程以及应用程序的相关事件都可以在 Journal 中连贯地记录下来。
- 这种统一存储使得查找和分析日志更加方便。你不需要在多个不同的文件中切换查找相关信息，只需要在 Journal 日志中进行搜索即可。
高效的存储和访问方式：
- Journal 采用了基于数据库的存储方式，能够快速地写入和检索日志信息。它使用了索引和优化的数据结构，相比传统的基于文本文件的日志系统，在处理大量日志数据时具有更高的性能。
- 当你需要查询某个特定时间段内的日志或者搜索特定关键词时，Journal 能够快速地定位并返回结果。例如，在排查一个在特定时间点发生的系统故障时，可以迅速找到该时间附近的相关日志记录。
支持多种日志格式：
- Journal 可以处理不同格式的日志信息，包括文本格式和结构化数据格式。对于一些现代的应用程序和服务，它们可以将更丰富的结构化数据写入 Journal，这样在分析日志时可以获取更多的细节信息。
- 比如，一个网络服务可以将连接的 IP 地址、端口号、请求的时间等结构化信息作为日志记录在 Journal 中，方便管理员进行更精确的分析和监控。

日志基本信息

日志路径：/var/log/journal(目录)
日志格式: 二进制格式
查看方法：使用专用命令journalctl

从头显示日志

[root@lcoalhost journal]# journalctl 
-- Logs begin at Mon 2024-05-13 09:03:04 CST, end at Fri 2024-08-09 23:50:01 CST. --
May 13 09:03:04 AliYun systemd-journal[363]: Time spent on flushing to /var is 71.369ms for 615 entries.
May 13 09:03:04 AliYun systemd[1]: Started udev Coldplug all Devices.
May 13 09:03:04 AliYun systemd-udevd[382]: starting version 219
May 13 09:03:04 AliYun systemd-udevd[382]: Network interface NamePolicy= disabled on kernel command line, ignoring.

查看最新的日志

[root@localhost journal]# journalctl -f
-- Logs begin at Mon 2024-05-13 09:03:04 CST. --
Aug 09 23:49:01 localhost postfix/qmgr[1020]: 25006E3225: removed
Aug 09 23:50:01 localhost systemd[1]: Started Session 5334 of user root.
Aug 09 23:50:01 localhost systemd[1]: Started Session 5335 of user root.
Aug 09 23:50:01 localhost CROND[4313]: (root) CMD (echo cronta)
Aug 09 23:50:01 localhost CROND[4312]: (root) CMD (/usr/lib64/sa/sa1 1 1)

查看指定时间的日志

[root@localhost journal]# journalctl --since "2024-08-08 10:00:00" --until "2024-08-09 12:00:00"
-- Logs begin at Mon 2024-05-13 09:03:04 CST, end at Fri 2024-08-09 23:53:01 CST. --
Aug 08 10:00:01 localhost systemd[1]: Created slice User Slice of root.
Aug 08 10:00:01 localhost systemd[1]: Started Session 3536 of user root.
Aug 08 10:00:01 localhost CROND[22381]: (root) CMD (/usr/lib64/sa/sa1 1 1)
Aug 08 10:00:01 localhost systemd[1]: Removed slice User Slice of root.
Aug 08 10:01:01 localhost systemd[1]: Created slice User Slice of root.
Aug 08 10:01:01 localhost systemd[1]: Started Session 3537 of user root.
Aug 08 10:01:01 localhost CROND[22389]: (root) CMD (run-parts /etc/cron.hourly)
Aug 08 10:01:01 localhost run-parts(/etc/cron.hourly)[22392]: starting 0anacron
Aug 08 10:01:01 localhost run-parts(/etc/cron.hourly)[22398]: finished 0anacron

查看指定服务的日志

[root@localhost journal]# journalctl -u docker
-- Logs begin at Mon 2024-05-13 09:03:04 CST, end at Fri 2024-08-09 23:55:01 CST. --
May 13 16:36:33 localhost systemd[1]: Starting Docker Application Container Engine...
May 13 16:36:33 localhost dockerd-current[14470]: time="2024-05-13T16:36:33.799947726+08:00" level=warning msg="could not change group /var/run/docker.sock to docker: group docker not found"
May 13 16:36:33 localhost dockerd-current[14470]: time="
May 13 16:36:34 localhost dockerd-current[14470]: time="
May 13 16:36:34 localhost dockerd-current[14470]: time="2024-05-13T16:36:34.841421804+08:00" level=info msg="Graph migration to content-addressability took 0.00 seconds"