前言

---

journalctl是Linux系統中用于查看和管理日志的核心工具，尤其在基于systemd的系統（如Ubuntu、CentOS、Fedora等）中，它是分析系統和服務日志的“瑞士軍刀”。對于新手而言，掌握journalctl能快速定位系統故障、服務崩潰或性能問題。本文將用通俗易懂的語言，從基礎到實踐，帶你快速上手journalctl。

---

一、journalctl介紹

journalctl是systemd日志系統（稱為journald）的日志查看工具。它統一管理系統的所有日志，包括：

• 內核日志：硬件驅動、設備連接等。
• 服務日志：Apache、MySQL、Docker等服務的運行狀態。
• 用戶程序日志：通過systemd管理的用戶級程序。

與傳統的日志文件（如/var/log/syslog）不同，journalctl支持結構化查詢和多維度過濾，讓日志分析更高效。

---

二、基礎使用：快速上手

1. 查看全部日志

輸入以下命令，顯示系統所有日志（按時間倒序排列）：

journalctl

• 按 ↓/↑ 鍵滾動瀏覽，按 q 退出。
• 日志默認分頁顯示（類似less），支持搜索（輸入/后輸入關鍵詞）。

2. 查看本次啟動的日志

• 僅顯示當前系統啟動后的日志：

journalctl -b

3. 按時間篩選日志

• 查看最近1小時的日志：

 journalctl --since "1 hour ago"

• 指定時間范圍（格式為YYYY-MM-DD HH:MM:SS）：

journalctl --since "2025-04-29 09:00:00" --until "2025-04-29 10:00:00"

4. 按服務（單元）過濾日志

• 查看某個服務的日志（如nginx）：

journalctl -u nginx.service

三、常用參數與場景

參數	作用	示例
-f	實時跟蹤日志（類似tail -f）	journalctl -f -u docker.service
-k	僅顯示內核日志	journalctl -k
-p <優先級>	按日志優先級過濾（如emerg, alert, crit, err, warning, info）	journalctl -p err
--no-pager	直接輸出日志（不分頁）	journalctl --no-pager
-o json	以JSON格式輸出日志（適合編程處理）	journalctl -o json
--disk-usage	查看日志占用的磁盤空間	journalctl --disk-usage

四、實戰案例：解決實際問題

案例1：排查服務啟動失敗

假設nginx服務啟動失敗，查看其詳細日志：

journalctl -u nginx.service --since "10 minutes ago"

• 如果日志顯示Address already in use，說明端口被占用。

案例2：查找系統崩潰原因

系統突然死機，重啟后查看上次啟動的日志：

journalctl -b -1  # -b -1表示上一次啟動

案例3：監控實時錯誤

實時跟蹤所有錯誤級別（error及以上）的日志：

journalctl -p err -f

---

五、高級技巧

1. 按進程ID（PID）過濾

• 查看某個進程的日志（需知道進程的PID）：

root@jeven01:~# journalctl _PID=585853
Apr 29 06:51:09 jeven01 sshd[585853]: Accepted password for root from 192.168.3.101 port 64052 ssh2
Apr 29 06:51:09 jeven01 sshd[585853]: pam_unix(sshd:session): session opened for user root(uid=0) by (uid=0)

2. 組合查詢

• 同時按服務和優先級過濾：

journalctl -u mysql.service -p err

3. 導出日志到文件

將日志保存為文本文件（方便分享或進一步分析）：

journalctl --since "2025-04-01" > ~/mylog.txt

• 查看保存的日記文件：

root@jeven01:~# cat mylog.txt | head -n 10
Apr 10 09:32:04 jeven01 systemd-resolved[683]: Clock change detected. Flushing caches.
Apr 10 09:32:04 jeven01 systemd[1]: Starting Daily apt download activities...
Apr 10 09:32:04 jeven01 systemd[1]: Starting Daily dpkg database backup service...
Apr 10 09:32:04 jeven01 systemd[1]: Starting Online ext4 Metadata Check for All Filesystems...
Apr 10 09:32:04 jeven01 systemd[1]: Starting Discard unused blocks on filesystems from /etc/fstab...
Apr 10 09:32:04 jeven01 systemd[1]: Starting Refresh fwupd metadata and update motd...
Apr 10 09:32:04 jeven01 systemd[1]: Starting Message of the Day...
Apr 10 09:32:04 jeven01 systemd[1]: Starting Rotate log files...
Apr 10 09:32:04 jeven01 systemd[1]: Starting Daily man-db regeneration...
Apr 10 09:32:04 jeven01 systemd[1]: dpkg-db-backup.service: Deactivated successfully.

六、常見問題與解決

問題1：權限不足，無法查看日志

• 現象：運行journalctl提示“No permissions”或“Access denied”。
• 解決：使用sudo提權或將自己加入systemd-journal用戶組：

  sudo usermod -aG systemd-journal $USER
  # 注銷后重新登錄生效
  

問題2：日志文件過大占用磁盤

• 查看日志占用空間：

journalctl --disk-usage

• 清理舊日志（保留最近500MB）：

 journalctl --vacuum-size=500M

問題3：無法找到某個服務的日志

• 可能原因：服務未通過systemd管理（如直接運行的腳本）。
• 替代方案：查看服務的自定義日志文件（如/var/log/myapp.log）。

---

七、總結

• journalctl 是一款強大的日志管理工具，適用于使用 systemd 的 Linux 系統，提供了靈活的日志查詢和管理功能。
• 使用 journalctl 時，務必注意查看的日志是否與當前系統引導有關，以避免獲取無關的信息。
• 對于特定服務的日志查詢，確保服務名稱準確無誤，可以提高檢索效率。
• 按時間篩選日志時，應使用精確的時間格式，以獲得最相關的日志條目。
• 在處理大量日志信息時，合理利用過濾條件和組合查詢可以顯著提高工作效率。
• 導出日志前，請確認目標文件有足夠的存儲空間，并且導出操作不會影響系統的正常運行。
• 當遇到權限問題時，檢查用戶權限或嘗試使用超級用戶權限執行命令。
• 定期監控并清理過大的日志文件，防止磁盤空間被無用日志占用，保持系統健康運行。
• 遇到無法找到某個服務日志的情況時，首先檢查服務是否正確安裝并處于活動狀態。
• 實踐中結合具體案例學習，能夠更有效地掌握 journalctl 的高級技巧和應用場景。