前言

journalctl是Linux系统中用于查看和管理日志的核心工具，尤其在基于systemd的系统（如Ubuntu、CentOS、Fedora等）中，它是分析系统和服务日志的“瑞士军刀”。对于新手而言，掌握journalctl能快速定位系统故障、服务崩溃或性能问题。本文将用通俗易懂的语言，从基础到实践，带你快速上手journalctl。

一、journalctl介绍

journalctl是systemd日志系统（称为journald）的日志查看工具。它统一管理系统的所有日志，包括：

• 内核日志：硬件驱动、设备连接等。
• 服务日志：Apache、MySQL、Docker等服务的运行状态。
• 用户程序日志：通过systemd管理的用户级程序。

与传统的日志文件（如/var/log/syslog）不同，journalctl支持结构化查询和多维度过滤，让日志分析更高效。

二、基础使用：快速上手

1. 查看全部日志

输入以下命令，显示系统所有日志（按时间倒序排列）：

journalctl

• 按 ↓/↑ 键滚动浏览，按 q 退出。
• 日志默认分页显示（类似less），支持搜索（输入/后输入关键词）。
• 
  

• 2. 查看本次启动的日志

  • 仅显示当前系统启动后的日志：

  journalctl -b

  

  3. 按时间筛选日志

  • 查看最近1小时的日志：

   journalctl --since "1 hour ago"

  

  • 指定时间范围（格式为YYYY-MM-DD HH:MM:SS）：

  journalctl --since "2025-04-29 09:00:00" --until "2025-04-29 10:00:00"

  

  4. 按服务（单元）过滤日志

  • 查看某个服务的日志（如nginx）：

  journalctl -u nginx.service

  三、常用参数与场景

• 
  

  四、实战案例：解决实际问题

  案例1：排查服务启动失败

  假设nginx服务启动失败，查看其详细日志：

  journalctl -u nginx.service --since "10 minutes ago"
  

  • 如果日志显示Address already in use，说明端口被占用。

  案例2：查找系统崩溃原因

  系统突然死机，重启后查看上次启动的日志：

  journalctl -b -1  # -b -1表示上一次启动
  

  案例3：监控实时错误

  实时跟踪所有错误级别（error及以上）的日志：

  journalctl -p err -f
  

  五、高级技巧

  1. 按进程ID（PID）过滤

  • 查看某个进程的日志（需知道进程的PID）：

  root@jeven01:~# journalctl _PID=585853
  Apr 29 06:51:09 jeven01 sshd[585853]: Accepted password for root from 192.168.3.101 port 64052 ssh2
  Apr 29 06:51:09 jeven01 sshd[585853]: pam_unix(sshd:session): session opened for user root(uid=0) by (uid=0)
  

  2. 组合查询

  • 同时按服务和优先级过滤：

  journalctl -u mysql.service -p err
  

  3. 导出日志到文件

  将日志保存为文本文件（方便分享或进一步分析）：

  journalctl --since "2025-04-01" > ~/mylog.txt
  

  • 查看保存的日记文件：

  root@jeven01:~# cat mylog.txt | head -n 10
  Apr 10 09:32:04 jeven01 systemd-resolved[683]: Clock change detected. Flushing caches.
  Apr 10 09:32:04 jeven01 systemd[1]: Starting Daily apt download activities...
  Apr 10 09:32:04 jeven01 systemd[1]: Starting Daily dpkg database backup service...
  Apr 10 09:32:04 jeven01 systemd[1]: Starting Online ext4 Metadata Check for All Filesystems...
  Apr 10 09:32:04 jeven01 systemd[1]: Starting Discard unused blocks on filesystems from /etc/fstab...
  Apr 10 09:32:04 jeven01 systemd[1]: Starting Refresh fwupd metadata and update motd...
  Apr 10 09:32:04 jeven01 systemd[1]: Starting Message of the Day...
  Apr 10 09:32:04 jeven01 systemd[1]: Starting Rotate log files...
  Apr 10 09:32:04 jeven01 systemd[1]: Starting Daily man-db regeneration...
  Apr 10 09:32:04 jeven01 systemd[1]: dpkg-db-backup.service: Deactivated successfully.
  

  六、常见问题与解决

  问题1：权限不足，无法查看日志

  • 现象：运行journalctl提示“No permissions”或“Access denied”。
  • 解决：使用sudo提权或将自己加入systemd-journal用户组：sudo usermod -aG systemd-journal $USER
    # 注销后重新登录生效
    
    

  问题2：日志文件过大占用磁盘

  • 查看日志占用空间：

  journalctl --disk-usage

  

  • 清理旧日志（保留最近500MB）：

   journalctl --vacuum-size=500M
  

  问题3：无法找到某个服务的日志

  • 可能原因：服务未通过systemd管理（如直接运行的脚本）。
  • 替代方案：查看服务的自定义日志文件（如/var/log/myapp.log）。

  七、总结

  • journalctl 是一款强大的日志管理工具，适用于使用 systemd 的 Linux 系统，提供了灵活的日志查询和管理功能。
  • 使用 journalctl 时，务必注意查看的日志是否与当前系统引导有关，以避免获取无关的信息。
  • 对于特定服务的日志查询，确保服务名称准确无误，可以提高检索效率。
  • 按时间筛选日志时，应使用精确的时间格式，以获得最相关的日志条目。
  • 在处理大量日志信息时，合理利用过滤条件和组合查询可以显著提高工作效率。
  • 导出日志前，请确认目标文件有足够的存储空间，并且导出操作不会影响系统的正常运行。
  • 当遇到权限问题时，检查用户权限或尝试使用超级用户权限执行命令。
  • 定期监控并清理过大的日志文件，防止磁盘空间被无用日志占用，保持系统健康运行。
  • 遇到无法找到某个服务日志的情况时，首先检查服务是否正确安装并处于活动状态。
  • 实践中结合具体案例学习，能够更有效地掌握 journalctl 的高级技巧和应用场景。