Come visualizzare e analizzare i log su Linux con journalctl

I messaggi di registro sono importanti per il controllo e il mantenimento di un sistema Linux sano. Ogni computer Linux memorizza i messaggi di registro per diversi servizi o lavori. Questa guida esplorerà come leggere e analizzare i messaggi di registro utilizzando journalctl, uno strumento da riga di comando per leggere i messaggi di registro scritti da journald.

Che cos'è journald?

Journald è un servizio di registrazione del sistema che aggrega i messaggi di registro in un diario. Fa parte del demone systemd che è responsabile della registrazione degli eventi in Linux. Il journal è semplicemente un file binario utilizzato per memorizzare i messaggi di log generati da journald.

I messaggi di registro del journal non sono persistenti, perché sono archiviati nella RAM, che è una forma di archiviazione volatile. Per impostazione predefinita, i registri journald vengono persi o cancellati ogni volta che il PC si riavvia o perde l'alimentazione. Linux alloca una quantità fissa di RAM ai log journald per evitare di intasare la memoria del sistema.

Come usare il comando journalctl

È possibile utilizzare journalctl per eseguire query sul journal di sistema o sui registri journald. Il sistema indicizza tutti i log journald per migliorare l'efficienza durante la lettura dei messaggi di log dal journal.

Nota: Questa guida utilizza sudo per eseguire comandi utilizzando privilegi elevati perché il comando journalctl non elencherà tutti i messaggi di registro quando lo esegui come un normale utente Linux.

Visualizza tutti i messaggi di registro

Per visualizzare tutti i log journald, esegui semplicemente il comando journalctl senza argomenti:

sudo journalctl

Il comando journalctl elencherà tutti i log journald sul tuo sistema in ordine cronologico. Il comando usa Di meno in background che ti dà la stessa capacità di navigazione che avresti generalmente con il comando less. Ad esempio, puoi navigare tra i log utilizzando il pulsante F e B tasti sulla tastiera.

Se si desidera modificare l'ordine in cui il sistema emette i registri, ovvero mostrare prima l'ultimo, è possibile utilizzare il -r bandiera con il comando. Il -r bandiera sta per Inversione.

sudo journalctl -r

Visualizza i log del journal del kernel

I log del kernel sono molto importanti su Linux perché contengono informazioni relative al tuo sistema dal momento in cui si avvia. Per visualizzare solo i log del kernel, specificare il -K flag con il comando journalctl:

sudo journalctl -k

L'output elencherà anche alcune informazioni sul kernel, come la versione del kernel e il suo nome.

Relazionato: Che cos'è un kernel in Linux e come controlli la tua versione?

Filtra i log journal in base a un programma specifico

È inoltre possibile visualizzare i registri relativi a un programma o servizio specifico utilizzando journalctl. Ad esempio, per visualizzare i log associati al cron servizio, eseguire il comando seguente:

sudo journalctl -u cron

Visualizza i messaggi di registro in tempo reale

A volte potresti voler visualizzare i log in tempo reale mentre vengono registrati. Per questo, impartisci il seguente comando:

sudo journalctl -f

Usa il Ctrl + C scorciatoia da tastiera per uscire dalla visualizzazione in tempo reale.

Ricevi messaggi di registro per data

È possibile utilizzare journalctl per filtrare e analizzare i log utilizzando un timestamp. Ad esempio, per visualizzare i log da ieri a oggi:

sudo journalctl --since=ieri

Puoi essere più specifico utilizzando un timestamp dettagliato "da" e "fino a", come segue:

sudo journalctl --since="2021-07-17 12:00:00" --until="2021-07-17 15:00:00"

Journalctl visualizzerà solo i messaggi di registro per il periodo specificato.

Visualizza i messaggi di registro per UID o PID

È inoltre possibile filtrare i log journald utilizzando l'ID utente (UID) o l'ID processo (PID). La sintassi di base è:

sudo journalctl _UID=0

...dove 0 è l'UID per l'account root. Puoi anche sostituire UID nel comando di cui sopra con PID o GID (ID gruppo).

Formattazione dell'output di journalctl

Per visualizzare i log journalctl utilizzando un formato di output specifico, è necessario utilizzare il pulsante journalctl -o comando seguito dal formato preferito. Ad esempio, per visualizzare i log in un grazioso formato JSON, esegui il comando seguente:

sudo journalctl -o json-pretty

Produzione:

Relazionato: Iniziare con la registrazione del sistema in Linux

Configurazione di journald su Linux

Questa guida ti ha mostrato come visualizzare e analizzare i messaggi di log journald su Linux utilizzando il comando journalctl. Il /var/log/journal directory memorizza tutti i log journald. Nota che non tutte le distribuzioni Linux hanno journald abilitato per impostazione predefinita.

Puoi usare il /etc/systemd/journald.conf file per configurare o apportare modifiche alla configurazione di journald sul PC. Oltre a un efficace servizio di registrazione, ci sono molti altri strumenti che sono un must se sei serio riguardo alla sicurezza dei tuoi server Linux.

6 strumenti open source indispensabili per proteggere il tuo server Linux

Non vuoi compromettere la sicurezza del tuo server Linux? Installa questi sei strumenti per creare una rete impenetrabile.

Leggi Avanti

Circa l'autore

Espandi per leggere la storia completa