一、Linux日志系统基础

现代Linux系统通常使用两种主要的日志系统：

• 传统syslog：日志通常存储在/var/log目录下
• systemd-journald：新一代日志系统，提供更强大的日志管理功能

常见日志文件包括：

• 系统日志：/var/log/messages 或 /var/log/syslog
• 认证日志：/var/log/auth.log
• 内核日志：/var/log/kern.log
• 启动日志：/var/log/boot.log
• 应用日志：如/var/log/nginx/error.log

二、基础查看命令

1. cat命令 - 简单查看

cat /var/log/syslog

适合查看小型日志文件，对于大文件不推荐使用。

2. less/more命令 - 分页查看

less /var/log/syslog
more /var/log/syslog

支持上下翻页，more只能向下翻页，less功能更强大。

3. tail命令 - 查看尾部内容

tail /var/log/syslog          # 查看最后10行
tail -n 50 /var/log/syslog  # 查看最后50行
tail -f /var/log/syslog     # 实时跟踪日志更新

-f参数特别适合监控实时产生的日志。

4. head命令 - 查看头部内容

head /var/log/syslog         # 查看前10行
head -n 20 /var/log/syslog # 查看前20行

三、高级日志查看技巧

1. grep过滤日志内容

grep "error" /var/log/syslog              # 查找包含"error"的行
grep -i "fail" /var/log/syslog            # 忽略大小写
grep -A 3 -B 2 "error" /var/log/syslog    # 显示匹配行前后内容

2. 组合命令的强大应用

grep "error" /var/log/syslog | less       # 分页查看错误日志
tail -f /var/log/nginx/access.log | grep "404" # 实时监控404错误

3. 使用journalctl查看systemd日志

journalctl                           # 查看全部日志
journalctl -u nginx.service        # 查看指定服务日志
journalctl --since "2023-01-01"    # 查看指定日期后的日志
journalctl -f                      # 实时跟踪日志

4. 使用awk/sed进行高级处理

awk '/error/{print $0}' /var/log/syslog     # 打印包含error的行
sed -n '/2023-01-01/,/2023-01-02/p' /var/log/syslog # 提取日期范围内的日志

四、日志轮转与管理

Linux系统使用logrotate进行日志轮转：

ls /var/log/*.gz               # 查看压缩的旧日志
zcat /var/log/syslog.1.gz     # 查看压缩日志内容
less /var/log/syslog.1        # 查看未压缩的旧日志

五、图形化日志查看工具

• gnome-system-log：GNOME桌面环境的日志查看器
• KSystemLog：KDE桌面环境的日志查看工具
• Logwatch：生成日志摘要报告