Ubuntu日志分析实战指南（系统日志排查与故障诊断技巧）

一、Ubuntu日志存储位置

Ubuntu（基于systemd）主要使用两种日志系统：

• /var/log/：传统文本日志目录，包含各类服务和内核日志
• journal 日志：由 systemd-journald 服务管理的二进制日志（可通过 journalctl 查看）

常用日志文件包括：

• /var/log/syslog：系统综合日志（相当于其他发行版的 messages）
• /var/log/auth.log：用户认证相关日志（如 SSH 登录）
• /var/log/kern.log：内核日志
• /var/log/dpkg.log：软件包安装/卸载记录

二、使用 journalctl 查看系统日志

journalctl 是 Ubuntu 中最强大的日志查看工具，支持实时监控、按服务过滤、时间范围筛选等功能。

1. 基础命令

# 查看全部日志（最新在底部）sudo journalctl# 实时跟踪日志（类似 tail -f）sudo journalctl -f# 查看本次启动的日志sudo journalctl -b

2. 按服务筛选日志

这是Linux日志查看中最实用的技巧之一：

# 查看 SSH 服务日志sudo journalctl -u ssh# 查看 Nginx 服务日志sudo journalctl -u nginx# 同时查看多个服务sudo journalctl -u ssh -u nginx

3. 按时间范围筛选

# 查看今天日志sudo journalctl --since today# 查看最近1小时日志sudo journalctl --since "1 hour ago"# 查看指定时间段sudo journalctl --since "2024-06-01 08:00:00" --until "2024-06-01 18:00:00"

三、结合 grep 分析文本日志

对于 /var/log/ 下的传统日志文件，我们可以使用 grep、tail 等命令进行高效分析。

# 查看最近100行 syslogsudo tail -n 100 /var/log/syslog# 搜索包含 "error" 的行（忽略大小写）sudo grep -i "error" /var/log/syslog# 实时监控 auth.log 中的失败登录sudo tail -f /var/log/auth.log | grep "Failed"

四、常见故障排查场景

1. 服务无法启动

使用 journalctl 查看具体错误信息：

sudo systemctl status nginxsudo journalctl -u nginx --since "5 minutes ago"

2. 系统突然卡顿或重启

检查内核日志和系统日志：

sudo journalctl -k --since "1 hour ago"sudo grep -i "oom\|panic\|segfault" /var/log/kern.log

3. 网络连接异常

查看网络服务和防火墙日志：

sudo journalctl -u NetworkManagersudo grep -i "denied" /var/log/syslog

五、提升效率的小技巧

• 使用 -n 参数限制输出行数，避免刷屏：
  sudo journalctl -u ssh -n 50
• 启用持久化日志（默认重启后 journal 日志会丢失）：
  创建目录 /var/log/journal 并重启 journald 服务
• 结合 less 分页查看：
  sudo journalctl | less

掌握这些 journalctl使用技巧 和日志分析方法，你就能在面对系统异常时快速定位根源。记住，系统日志排查不是魔法，而是通过日积月累的经验和正确的工具组合实现的高效运维能力。

希望这篇教程能帮助你在 Ubuntu 系统管理之路上更进一步！如有疑问，欢迎在评论区交流。