linux如何开启系统日志

Linux 中，可使用 sudo systemctl start rsyslog 开启系统日志服务，也可用 journalctl

Linux系统中,系统日志是非常重要的一部分，它记录了系统的各种事件和活动，对于系统的监控、故障排查以及安全审计都有着至关重要的作用，以下是在常见的Linux发行版中开启系统日志的详细方法：

检查系统日志服务状态

在大多数Linux系统中,系统日志是由rsyslog或systemd-journald等服务来管理的，我们需要检查这些服务是否已经启动并在运行。

检查rsyslog服务状态

sudo systemctl status rsyslog

如果服务没有运行,可以使用以下命令启动它：

sudo systemctl start rsyslog

要使服务在系统启动时自动运行,执行：

sudo systemctl enable rsyslog

检查systemd-journald服务状态

sudo systemctl status systemd-journald

同样,若未运行可启动并设置开机自启：

sudo systemctl start systemd-journald
sudo systemctl enable systemd-journald

配置日志存储位置

系统日志默认会存储在特定的目录和文件中,如/var/log目录下，我们可以根据需要对日志的存储位置进行配置。

对于rsyslog的配置

• 打开rsyslog配置文件/etc/rsyslog.conf：

  sudo nano /etc/rsyslog.conf

• 在该文件中,可以看到各种日志设施（如auth、authpriv、daemon等）对应的日志级别和存储位置的配置，要将所有日志都存储到自定义的文件/var/log/my_system.log中，可以添加如下配置：

  *.* /var/log/my_system.log

• 保存并关闭文件后,重启rsyslog服务使配置生效：

  sudo systemctl restart rsyslog

对于systemd-journald的配置

• 编辑/etc/systemd/journald.conf文件：

  sudo nano /etc/systemd/journald.conf`

• 可以修改Storage=选项来设置日志的存储方式，如设置为persistent可将日志持久化存储，还可以修改SystemMaxUse=等选项来限制日志占用的磁盘空间大小等。
• 修改完成后,重启systemd-journald服务：

  sudo systemctl restart systemd-journald

设置日志级别

不同的日志级别记录了不同严重程度的事件,我们可以根据实际需求设置日志级别，以控制记录哪些事件。

在rsyslog中设置日志级别

• 在/etc/rsyslog.conf文件中，通过修改日志设施对应的配置来设置日志级别，要将daemon设施的日志级别设置为info，可修改相关配置行：

  daemon.info /var/log/daemon.log

  这意味着只有daemon设施中级别为info及更严重的事件才会被记录到/var/log/daemon.log文件中。

在systemd-journald中设置日志级别

• 在/etc/systemd/journald.conf文件中，可以设置ForwardToSyslog=yes将journald的日志转发到syslog，然后在syslog的配置中统一设置日志级别，或者使用journalctl -p命令来查看特定级别的日志，但这并不是真正意义上的设置日志级别，只是过滤查看。

查看系统日志

开启系统日志后,我们可以通过相关命令来查看日志内容。

使用cat、less、more等命令查看日志文件

• 例如查看/var/log/messages文件：

  cat /var/log/messages

  或

  less /var/log/messages

  或

  more /var/log/messages

  这些命令可以直接查看日志文件的内容,但对于实时查看日志变化不太方便。

使用tail命令实时查看日志

• 使用tail -f /var/log/messages命令可以实时查看/var/log/messages文件的新增内容，这在监控系统运行时的日志输出非常有用。

使用journalctl命令查看systemd-journald日志

• journalctl命令可以查看systemd-journald管理的日志，查看所有日志：

  journalctl

  查看指定日期的日志：

  journalctl --since "2024-01-01" --until "2024-01-31"

  查看特定服务的日志：

  journalctl -u nginx.service

以下是一个简单的对比表格,展示了rsyslog和systemd-journald在一些方面的不同：
| 项目 | rsyslog | systemd-journald |
|–|–|–|
| 配置文件 | /etc/rsyslog.conf及相关文件 | /etc/systemd/journald.conf |
| 日志存储默认位置 | /var/log目录下的相关文件 | 二进制格式存储在内存和磁盘上，可通过journalctl查看 |
| 日志级别设置方式 | 在配置文件中直接设置各设施的日志级别 | 主要通过过滤查看，可结合syslog设置 |
| 实时查看日志命令 | tail -f 日志文件路径 | journalctl -f |

FAQs：
问题1：如何清除systemd-journald的日志？
解答：可以使用sudo journalctl --vacuum-time=1d命令来清除一天前的日志（这里1d表示一天，可根据需要调整时间），但要注意谨慎操作，因为清除后的日志将无法恢复，也可以编辑/etc/systemd/journald.conf文件，设置SystemMaxUse=等选项来限制日志占用的磁盘空间，当达到限制时，旧的日志会自动被清理。

问题2：rsyslog配置文件修改后不生效怎么办？
解答：首先检查配置文件的语法是否正确，可以使用sudo rsyslogd -N1命令来检查，如果语法没有问题，那么可能是服务没有正确重启，确保在修改配置文件后执行了sudo systemctl restart rsyslog命令来重启rsyslog服务，使配置生效。

小伙伴们，上文介绍linux如何开启系统日志的内容，你了解清楚吗？希望对你有所帮助，任何问题可以给我留言，让我们下期再见吧。