Linux查看错误日志的命令有哪些？

Linux系统中的错误日志是排查问题、监控系统运行状态的重要依据，通过查看日志可以快速定位故障原因，无论是系统内核错误、服务异常还是应用程序崩溃，都会在日志中留下记录，本文将详细介绍Linux查看错误日志的多种方法，包括常用命令、日志文件位置及高级过滤技巧,帮助用户高效获取错误信息。

系统日志文件：错误信息的集中地

Linux系统中的日志通常存储在/var/log目录下，不同类型的错误日志会对应不同的文件，了解这些文件的用途和位置是查看错误日志的基础。

1. 系统主日志

   • /var/log/syslog（Debian/Ubuntu）或/var/log/messages（CentOS/RHEL）：记录系统运行中的大部分信息，包括服务启动、内核消息、应用程序错误等。
   • 查看命令：

     cat /var/log/syslog  # 查看全部内容
     tail -f /var/log/syslog  # 实时跟踪最新日志
     grep "error" /var/log/syslog  # 过滤包含"error"的行

2. 认证与安全日志

   • /var/log/auth.log（Debian/Ubuntu）或/var/log/secure（CentOS/RHEL）：记录用户登录、权限变更、认证失败等安全相关事件，错误如密码错误、SSH登录失败会在此体现。
   • 查看示例：

     grep "Failed password" /var/log/auth.log  # 查看登录失败记录

3. 内核日志

   • /var/log/kern.log：记录内核产生的消息，如驱动加载失败、硬件错误等。
   • 查看命令：

     dmesg  # 查看内核环缓冲区日志（实时内核消息）
     dmesg | grep -i "error"  # 过滤内核错误

4. 服务专用日志

   • 系统服务（如Nginx、MySQL、Apache）通常会在/var/log下创建自己的日志文件，
     • Nginx错误日志：/var/log/nginx/error.log
     • MySQL错误日志：/var/log/mysql/error.log
     • Apache错误日志：/var/log/httpd/error.log
   • 查看示例：

     tail -f /var/log/nginx/error.log  # 实时查看Nginx错误

使用journalctl查看systemd日志

现代Linux发行版（如Ubuntu 16.04+、CentOS 7+）广泛使用systemd作为初始化系统，其日志可通过journalctl命令查看，功能比传统日志文件更强大。

1. 查看所有日志

   journalctl  # 分页显示所有日志（默认从最新到最旧）
   journalctl -n 100  # 显示最近100条日志

2. 查看特定服务的日志

   

   journalctl -u nginx  # 查看Nginx服务的日志
   journalctl -u ssh --since "2023-10-01"  # 查看SSH服务从指定日期的日志

3. 过滤错误级别日志
   日志级别从0（ emerg，紧急）到7（ debug，调试），错误通常对应err（3）和crit（2）：

   journalctl -p err  # 查看所有错误级别日志
   journalctl -p err -u mysql  # 查看MySQL服务的错误日志

4. 实时跟踪日志

   journalctl -f  # 实时跟踪所有日志（类似tail -f）
   journalctl -f -u docker  # 实时跟踪Docker服务日志

使用grep过滤关键词

日志文件通常较大，直接查看全文效率低，结合grep命令可以快速定位错误信息。

1. 过滤常见错误关键词

   grep -i "error|fail|exception" /var/log/syslog  # 忽略大小写，匹配error/fail/exception
   grep -A 5 -B 5 "connection refused" /var/log/nginx/error.log  # 显示匹配行前后5行上下文

2. 排除无关信息

   grep -v "info" /var/log/app.log  # 排除包含"info"的行，仅显示非info日志

查看实时日志：tail与less

对于正在运行的系统，实时查看最新日志是定位动态错误的关键。

1. tail命令：跟踪文件末尾

   tail -f /var/log/syslog  # 实时跟踪syslog更新
   tail -100f /var/log/kern.log  # 实时跟踪最近100行内核日志

2. less命令：交互式查看

   

   less /var/log/messages  # 打开messages，支持上下翻页、搜索（/关键词）
   在less中按`F`键可进入实时跟踪模式（类似tail -f），按`q`退出

常见日志文件及查看命令总结

为方便查阅，以下表格整理了Linux中常见错误日志文件及其查看方法：

高级技巧：组合命令与日志分析

1. 按时间过滤日志
   使用journalctl的--since和--until参数可按时间范围筛选日志：

   journalctl --since "2023-10-01 10:00:00" --until "2023-10-01 12:00:00"  # 查看指定时间段日志

2. 使用awk统计错误频率
   统计某类错误出现的次数：

   grep "error" /var/log/syslog | awk '{print $6}' | sort | uniq -c  # 统计错误关键词频率

3. 日志轮转与归档
   系统通过logrotate工具自动轮转日志（避免单个文件过大），旧日志通常以.1、.2等后缀归档，例如/var/log/syslog.1是昨天的日志，可通过grep在归档文件中搜索历史错误。

相关问答FAQs

问题1：如何实时监控Linux系统中的所有错误日志？
解答：可通过组合journalctl和grep命令实时过滤错误日志，执行以下命令可同时监控系统、内核、认证及常见服务的错误：

journalctl -f -p err | grep -E "syslog|kern|auth|nginx|mysql"  

或使用multitail工具（需安装）同时跟踪多个日志文件：

multitail /var/log/syslog /var/log/auth.log /var/log/nginx/error.log  

问题2：Linux日志文件占满磁盘空间怎么办？
解答：日志文件过大可能导致磁盘空间不足，可通过以下方式处理：

1. 查看日志大小：使用du -sh /var/log/*定位大日志文件。
2. 清理旧日志：手动删除归档日志（如/var/log/syslog.1），但需确保服务未在使用（部分日志需通过logrotate清理）。
3. 配置日志轮转：编辑/etc/logrotate.conf或服务专用配置（如/etc/logrotate.d/nginx），调整日志保留时间和轮转策略。
4. 限制日志大小：在服务配置中设置日志文件上限（如Nginx的error_log /var/log/nginx/error.log crit;可限制日志级别）。
   若磁盘空间仍紧张，可使用logrotate的compress选项压缩旧日志，或通过journalctl --vacuum-size=100M限制systemd日志大小。