在現代Linux系統，尤其是採用Systemd作為其初始化系統和服務管理器的發行版中，日誌管理的方式發生了根本性的變化。傳統的日誌文件（如/var/log/syslog、/var/log/messages等）雖然仍在某些場景下存在，但Systemd引入了一個更強大、更統一的日誌系統——Systemd Journal。而journalctl正是我們與這個日誌系統交互、查看和管理日誌的強大命令行工具。
本文將深入探討journalctl命令的各種用法，幫助您高效地查看、過濾和分析Systemd Journal日誌，從而更有效地進行系統故障排除、性能監控以及日常運維。
什麼是Systemd Journal？
在深入journalctl之前，我們需要理解它所管理的核心——Systemd Journal。與傳統的純文本日誌不同，Systemd Journal將日誌數據存儲為結構化的二進制格式。這種格式具有以下顯著優勢：
- 集中化： 將所有來源（內核、服務、用戶程序等）的日誌統一收集和存儲。
- 結構化： 日誌條目包含多個字段（如時間戳、優先級、服務單元、PID、消息內容等），便於程序化解析和過濾。
- 索引和快速查詢： 由於是二進制和結構化存儲，
journalctl可以非常快速地對日誌進行過濾和搜索，無需像傳統日誌那樣進行全文件掃描。 - 安全性： 日誌數據通過Systemd Journal守護進程（
systemd-journald.service）進行寫入，可以更有效地防止篡改。 - 持久性或非持久性： 日誌可以配置為在重啟后保留（存儲在
/var/log/journal/）或不保留（存儲在/run/log/journal/）。
journalctl基礎用法：快速入門
作為與Systemd Journal交互的主要工具，journalctl的使用非常直觀。
1. 查看所有日誌
最基本的用法是直接運行journalctl命令，它會顯示Systemd Journal中所有可用的日誌條目，默認按時間倒序排列（最新日誌在底部）。
journalctl
默認情況下，journalctl會使用分頁器（通常是less）來顯示輸出，您可以像瀏覽文件一樣向上或向下滾動。
2. 實時跟蹤最新日誌
當您需要實時監控系統活動或服務輸出時，可以使用-f（或--follow）選項，這類似於tail -f命令。
journalctl -f
這對於在更改配置后觀察服務啟動情況，或在執行特定操作時查看實時日誌輸出非常有用。
3. 查看最近的N條日誌
如果您只想查看最近的幾條日誌，可以使用-n選項，後跟要顯示的行數。
journalctl -n 20
這將顯示最新的20條日誌條目。
深入理解journalctl的日誌過濾功能
journalctl最強大的功能在於其靈活的日誌過濾能力。通過指定各種條件，您可以精確地定位到所需的日誌信息。
1. 按服務單元過濾日誌
查看特定Systemd服務或單元的日誌是最常見的需求之一。使用-u（或--unit）選項，後跟服務單元的名稱。
journalctl -u nginx.service
或者省略.service後綴：
journalctl -u sshd
這會顯示nginx或sshd服務的所有相關日誌。
您可以結合-f選項來實時跟蹤特定服務的日誌：
journalctl -u apache2 -f
2. 按時間範圍過濾日誌
在故障排除時，往往需要查看特定時間段內的日誌。journalctl提供了強大的時間過濾選項，包括絕對時間和相對時間。
a. 絕對時間過濾：--since 和 --until
使用--since（從...開始）和--until（直到...結束）可以指定精確的時間段。時間格式支持多種形式，包括：
YYYY-MM-DD HH:MM:SSYYYY-MM-DD HH:MMYYYY-MM-DDHH:MM:SSHH:MM
示例：
查看今天凌晨0點以來的所有日誌：
journalctl --since "today"
查看特定日期和時間之後的日誌：
journalctl --since "2023-10-26 10:00:00"
查看從昨天到今天的日誌：
journalctl --since "yesterday" --until "now"
查看某個精確時間段內的日誌：
journalctl --since "2023-10-25 09:00" --until "2023-10-25 10:00"
b. 相對時間過濾：自然語言表示
journalctl也支持更自然語言的相對時間表達，如"5 minutes ago"、"1 hour ago"、"yesterday"、"now"等。
示例：
查看過去30分鐘的日誌：
journalctl --since "30 minutes ago"
查看過去2小時的docker服務日誌：
journalctl -u docker --since "2 hours ago"
3. 按啟動會話過濾日誌
每次系統啟動都會生成一個新的「啟動會話」。journalctl允許您查看當前或以前啟動會話的日誌。
a. 查看當前啟動會話的日誌
使用-b（或--boot）選項來查看當前啟動會話的日誌。這對於診斷最近一次啟動中出現的問題非常有用。
journalctl -b
b. 列出所有啟動會話
在查看特定歷史啟動會話的日誌之前，您可能需要知道它們的索引。使用--list-boots可以列出所有可用的啟動會話，包括其ID、引導ID以及時間範圍。
journalctl --list-boots
輸出示例：
-2 d13d11b32d204a91a92e858d4a5c9f59 Thu 2023-10-26 09:00:00 CST—Thu 2023-10-26 11:30:00 CST -1 fe6b9f1a0e8c4b7b8a7b9e1c2d3e4f5g Thu 2023-10-26 11:35:00 CST—Thu 2023-10-26 15:45:00 CST 0 4a3b2c1d0e9f8a7b6c5d4e3f2g1h0i9j Thu 2023-10-26 15:50:00 CST—now其中，
0代表當前啟動會話，-1代表上一次啟動，以此類推。
c. 查看特定啟動會話的日誌
結合-b選項和引導ID或相對索引（如-1、-2），您可以查看特定啟動會話的日誌。
查看上一次啟動的日誌：
journalctl -b -1
查看特定引導ID的日誌：
journalctl -b d13d11b32d204a91a92e858d4a5c9f59
4. 按日誌優先級（嚴重性）過濾
Systemd Journal的日誌消息都有一個優先級或嚴重性級別。這允許您只查看特定嚴重程度的日誌，例如只看錯誤信息。
優先級從0（最高嚴重性）到7（最低嚴重性）排序：
0: emerg (緊急)1: alert (警報)2: crit (臨界)3: err (錯誤)4: warning (警告)5: notice (通知)6: info (信息)7: debug (調試)
使用-p（或--priority）選項，後跟優先級名稱或數字。
示例：
查看所有錯誤級別或更高級別的日誌（即err, crit, alert, emerg）：
journalctl -p err
查看所有警告級別或更高級別的日誌：
journalctl -p warning
結合服務單元和優先級：查看nginx服務的所有錯誤日誌：
journalctl -u nginx -p err
5. 其他高級過濾選項
journalctl還支持基於結構化字段的更精細過濾。
- 按可執行文件路徑過濾：
journalctl _EXE=/usr/bin/sshd - 按命令名過濾：
journalctl _COMM=sshd - 按進程ID（PID）過濾：
journalctl _PID=1234 - 按用戶ID（UID）過濾：
journalctl _UID=1000 - 按組ID（GID）過濾：
journalctl _GID=1000 - 按消息內容過濾：
雖然
journalctl不是grep的替代品，但可以通過管道結合使用。不過，它也支持簡單的內容過濾（通常是針對特定字段的）。更複雜的文本搜索仍建議結合grep。journalctl -u sshd | grep "Failed password"
日誌輸出格式：-o選項
journalctl提供了多種輸出格式，以適應不同的需求，從可讀的文本到機器可解析的JSON。
使用-o（或--output）選項指定輸出格式。
short(默認): 傳統的syslog風格輸出。short-precise: 包含微秒精度的傳統syslog風格輸出。short-iso: ISO 8601格式的時間戳。verbose: 顯示所有結構化字段。這會提供非常詳細的信息，通常用於深度調試。json: 將每條日誌輸出為一行JSON對象。適合程序化處理。json-pretty: 格式化后的JSON輸出，帶有縮進，便於人類閱讀。cat: 只顯示原始消息內容，不包含時間戳和元數據。
示例：
以JSON格式輸出最近10條日誌：
journalctl -n 10 -o json-pretty
只看systemd-resolved服務的消息內容：
journalctl -u systemd-resolved -o cat
journalctl日誌管理
Systemd Journal會佔用磁盤空間。您可以查詢日誌的磁盤使用量，並設置清理策略。
1. 查看日誌磁盤使用量
journalctl --disk-usage
這會顯示Systemd Journal當前佔用的磁盤空間大小。
2. 管理和清理舊日誌
journalctl提供了選項來限制日誌的大小或保留時間，從而自動清理舊日誌。
- 按大小限制：
--vacuum-size=SIZE刪除舊日誌，直到日誌文件總大小達到指定值（例如，
100M，1G）。sudo journalctl --vacuum-size=500M - 按時間限制：
--vacuum-time=TIME刪除早於指定時間（例如，
1day，2weeks）的日誌。sudo journalctl --vacuum-time="7days"
這些命令通常需要sudo權限，並且只會刪除非活躍的、已歸檔的日誌文件。活躍的日誌文件通常不會被清理。
常見問題與故障排除
權限問題
默認情況下，普通用戶只能看到自己的用戶會話日誌和一些非敏感的系統日誌。要查看所有系統日誌，包括內核和所有服務的日誌，您通常需要使用sudo。
sudo journalctl
如果您不想每次都使用sudo，可以將您的用戶添加到systemd-journal或adm組中。
sudo usermod -aG systemd-journal your_username
然後重新登錄。
日誌不持久化
如果您的Systemd Journal日誌在每次重啟后都丟失，這通常是因為/var/log/journal目錄不存在，或者沒有適當的權限。
如果/var/log/journal目錄不存在，Systemd Journald守護進程會將日誌存儲在臨時目錄/run/log/journal/，該目錄會在重啟時被清空。
要啟用持久化日誌，只需創建該目錄並設置正確權限：
sudo mkdir -p /var/log/journal
sudo systemd-tmpfiles --create --enable systemd-journal
sudo systemctl restart systemd-journald
重啟后，日誌將開始持久化存儲。
journalctl命令卡住或顯示大量輸出
當日誌量巨大時，直接運行journalctl可能會因為輸出過多而顯得卡頓。此時，應結合過濾選項（如-u、--since、-n、-p）來縮小範圍。如果確實需要瀏覽大量日誌，PAGER（如less）的搜索功能（/）會很有用。
總結
journalctl是Systemd生態系統中不可或缺的日誌管理工具，它通過結構化、中心化的方式革新了Linux系統的日誌記錄。掌握其強大的過濾、輸出和管理功能，將極大地提升您在Linux系統上的故障排除、監控和日常運維效率。無論是診斷服務啟動失敗、分析系統性能瓶頸，還是審計用戶活動，journalctl都是您的得力助手。花時間熟悉並精通這個命令，您會發現它能解決許多傳統日誌工具難以應對的問題。
常見問題解答（FAQ）
如何查看特定服務的日誌？
要查看特定Systemd服務的日誌，例如Nginx，您可以使用journalctl -u nginx.service命令。如果您只想看最近的幾條或實時跟蹤，可以結合其他選項，例如journalctl -u nginx.service -n 50查看最近50條，或journalctl -u nginx.service -f進行實時跟蹤。
為何我的journalctl日誌在系統重啟后就消失了？
這通常是因為您的Systemd Journal配置為非持久化存儲。日誌默認存儲在/run/log/journal/這個臨時目錄，它會在每次系統重啟時被清空。要啟用持久化存儲，您需要確保/var/log/journal/目錄存在且擁有正確的權限。可以通過運行sudo mkdir -p /var/log/journal並重啟systemd-journald服務來解決。
如何查看上一次系統啟動（boot）的日誌？
首先，您可以使用journalctl --list-boots命令來列出所有可用的啟動會話及其對應的索引（如-1代表上一次啟動，-2代表再上一次）。然後，使用journalctl -b -1（或相應的引導ID）來查看上一次啟動會話的日誌。
如何查看journalctl佔用了多少磁盤空間，並進行清理？
要查看journalctl佔用的磁盤空間，請運行journalctl --disk-usage。要清理舊日誌並限制總大小，您可以使用sudo journalctl --vacuum-size=500M來限制總大小在500MB，或使用sudo journalctl --vacuum-time="7days"來刪除7天前的日誌。
journalctl -f和tail -f /var/log/syslog有什麼區別？
journalctl -f跟蹤的是Systemd Journal的結構化二進制日誌，它能捕獲來自Systemd管理的所有服務、內核以及其他來源的統一日誌流。它能進行更精細的過濾（例如按服務單元、時間戳等）。而tail -f /var/log/syslog則僅跟蹤傳統的純文本syslog文件，其內容和格式依賴於傳統的rsyslog或syslog-ng配置，通常只包含部分系統日誌，且不具備結構化查詢的能力。
