看不懂 Linux 日志？rsyslog+journalctl 从 0 到 1 精讲，排错效率直接翻倍-北京尧图网络

前言⚠️有没有很多 Linux 新手和我一样启动服务报错、SSH 登录失败、定时任务没执行打开终端两眼一抹黑完全不知道去哪里找报错信息服务器不会说谎所有程序崩溃、登录异常、内核报错都会完整记录在系统日志里学会看日志掌握服务器排错万能钥匙。CentOS7 及以上系统存在两套日志服务协同工作systemd-journald、rsyslog很多教程只单独讲其中一个新手越学越混乱。本文全程小白友好拆解两套日志分工、完整可复现实验、每行命令带详细注释、参数全拆解、3 类高频服务故障完整复盘跟着虚拟机敲一遍就能吃透日志体系前置环境说明实验机器CentOS7/8/9 服务器 server 阅读建议一边开虚拟机一边跟着实操所有案例均可手动复现加深记忆一、Linux 日志整体架构1.1 日志核心作用文本框日志能干什么故障排查服务启动失败、登录报错、程序崩溃日志记录完整报错原因安全审计记录谁远程 SSH 登录、何时登录、是否暴力破解密码运行监控定时任务执行记录、内核硬件异常、系统资源报错追溯责任多人操作服务器可通过日志查看每一条执行行为1.2 两套日志服务分工对比表服务名称存储格式日志存放路径核心职责优缺点systemd-journald二进制文件临时/run/log/journal持久化/var/log/journal日志收集总入口收集内核、开机、所有服务原始日志优点过滤、按服务 / 时间查询方便缺点二进制文件不能直接 cat 读取rsyslog纯文本文件/var/log/ 下各类日志接收 journald 日志按分类存入不同文本日志支持日志远程转发优点文本文件易读取、长期归档缺点查询过滤功能弱于 journalctl1.3 工作流程通俗讲解系统内核、ssh、定时任务、httpd 等程序产生日志消息全部消息统一交给systemd-journald收集格式化存储rsyslog读取 journald 收集到的日志按照预设规则拆分、存入不同文本日志运维人员可任选两套工具查看日志、定位故障。⚠️补充知识点文本框不是所有软件都会走 rsyslog 记录日志 sshd、crontab、内核、系统登录使用系统日志服务 httpd、nginx 等 web 服务拥有独立日志文件不写入 /var/log 系统日志。二、rsyslog 日志完整详解2.1 rsyslog 配置文件路径配置文件作用修改后生效方式/etc/rsyslog.conf主配置文件定义全局日志规则systemctl restart rsyslog/etc/rsyslog.d/*.conf自定义扩展配置目录推荐新增规则放这里systemctl restart rsyslog主配置内置导入扩展目录代码# 读取/etc/rsyslog.d/下所有.conf配置文件modeoptional目录不存在不报错include(file/etc/rsyslog.d/*.confmodeoptional)2.2 日志规则标准语法facility连接符号priority 处理方式示例cron.info表格 1facility 设备类型日志来源分类facility日志来源说明authPAM 认证模块产生日志authprivSSH、FTP 私密登录日志排 SSH 登录报错必看croncrontab 定时任务执行日志kern系统内核相关日志lpr打印机服务日志mail邮件服务日志news新闻组服务日志user用户自定义程序日志local0~local78 组自定义日志类型实验自定义日志专用表格 2priority 日志优先级数字越小故障越严重数字级别名称场景说明0emerg系统彻底崩溃无法使用1alert重大故障必须立刻处理2crit临界严重错误3err程序运行报错4warning警告不影响运行但存在隐患5notice正常重要事件6info普通运行信息7debug调试打印日志生产环境关闭none不记录任何日志表格 3连接符号匹配规则符号匹配规则举例.大于等于该级别全部记录cron.info 记录 info、notice、warning 及更严重日志.仅匹配当前级别cron.err 只记录 err 级别日志.!排除当前级别其余全部记录cron.!debug 不记录 debug其他全部保存处理方式 3 种写入本地文件最常用输出到服务器终端控制台转发日志到远程日志服务器2.3 系统默认日志规则解析### RULES ##### 内核日志输出到控制台默认注释关闭#kern.* /dev/console# 所有info级别日志排除邮件、认证、定时任务存入messages*.info;mail.none;authpriv.none;cron.none /var/log/messages# 所有登录认证日志存入secure排查SSH登录首选authpriv.* /var/log/secure# 邮件所有级别日志存入maillogmail.* -/var/log/maillog# 定时任务全部日志存入croncron.* /var/log/cron# 系统崩溃紧急消息广播给所有在线用户*.emerg :omusrmsg:*# news、uucp服务crit及以上严重日志单独存放uucp,news.crit /var/log/spooler# 系统开机日志存入boot.loglocal7.* /var/log/boot.log2.4 /var/log 系统日志文件作用详解表日志文件路径存储内容运维使用场景/var/log/messages绝大多数系统通用日志排除认证、邮件、定时任务服务启动失败、系统进程报错通用排查/var/log/secureSSH、用户登录、权限认证日志SSH 免密失效、密码登录失败、暴力破解排查/var/log/cron定时任务执行记录crontab 脚本不执行、定时任务报错/var/log/maillog邮件收发日志邮件服务故障排查/var/log/boot.log系统开机启动打印信息开机硬件、内核启动异常2.5 日志内容字段拆解小白逐段翻译执行命令实时查看日志[rootserver ~]# tail -f /var/log/messagesNov1010:23:05 centos7 systemd-logind: New session15of user jhl.逐字段拆分Nov 10 10:23:05日志生成时间centos7产生日志的服务器主机名systemd-logind输出这条日志的进程名称New session 15 of user jhl.日志详细描述内容SSH 登录日志示例[rootserver ~]# tail -f /var/log/secureNov1010:27:26 centos7 sshd[2755]: Accepted passwordforjhl from10.1.8.1 port5530ssh2解读jhl 用户从 10.1.8.1 主机使用 5530 端口 SSH 密码登录成功三、rsyslog 自定义日志完整实验3.1 实验目的掌握自定义日志规则编写业务程序可单独输出专属日志不混杂系统日志理解 facility 自定义设备 local0~7 的使用方法学会 logger 命令手动模拟生成日志验证配置是否生效掌握修改 rsyslog 配置后重载服务的标准流程。3.2 整体实验思路在扩展配置目录新建专属日志配置文件定义 local5 所有级别日志写入自定义文件重启 rsyslog 服务加载新规则使用 logger 命令生成local5.info测试日志查看自定义日志文件验证日志是否正常写入。3.3 逐行命令完整注释# 1. 在rsyslog扩展目录新建自定义日志配置文件jhl.conf# vim文本编辑工具/etc/rsyslog.d/ 官方推荐自定义配置存放目录[rootserver ~]# vim /etc/rsyslog.d/jhl.conf# 文件内写入规则# local5.* 代表local5设备所有优先级日志/var/log/jhl.log 日志存储路径local5.* /var/log/jhl.log# 2. 重启rsyslog服务加载新增日志规则# systemctl restart重启系统服务rsyslog.service 日志服务名称[rootserver ~]# systemctl restart rsyslog.service# 3. 此时查看日志文件会提示不存在日志文件不会自动创建需要写入第一条日志才生成[rootserver ~]# ls /var/log/jhl.logls: 无法访问/var/log/jhl.log: 没有那个文件或目录# 4. logger命令手动模拟业务输出日志# logger手动生成syslog日志工具# -p local5.info指定日志设备local5优先级info# test my custom log by jhl 自定义日志内容[jhlserver ~]$ logger-plocal5.infotest my custom log by jhl# 5. 读取自定义日志文件验证配置生效[rootserver ~]# cat /var/log/jhl.logNov1010:32:26 centos7 jhl:testmy custom log by jhl3.4 实验现象解读执行 logger 后自动生成/var/log/jhl.log日志格式和系统内置日志完全统一后续业务程序指定 local5 即可独立输出日志方便单独排查。四、rsyslog 三大 SSH 故障模拟完整排错思路故障 1sshd_config 配置文件丢失sshd 服务启动失败故障复现代码# 移动sshd主配置文件到当前目录模拟文件丢失[rootserver ~]# mv /etc/ssh/sshd_config .# 重启sshd服务直接启动失败[rootserver ~]# systemctl restart sshd# 根据上面的提示查看sshd的详细信息[rootserver ~]# systemctl status sshd.service# 通过读取日志内容仅仅提示服务启动失败看不到其他信息了所以要查看系统通用日志/var/log/messages排错完整思路故障现象执行重启命令无报错提示但服务启动失败无法远程 SSH排查手段实时监控系统通用日志/var/log/messages# -f 实时滚动输出日志持续监控服务启动日志[rootserver ~]# tail -f /var/log/messages按G跳到日志的最后有详细的报错信息。关键报错关键字/etc/ssh/sshd_config: No such file or directory故障根因sshd 启动时读取指定路径配置文件文件被移动找不到进程直接退出实用技巧为了防止终端被占用将tail -f /var/log/messages放到后台。继续重启sshd服务可以看到详细的报错信息修复方案将配置文件移回原目录重启服务验证ssh 远程连接恢复正常。[rootserver ~]# mv sshd_config /etc/ssh/[rootserver ~]# systemctl restart sshd注意不要忘记将后台的进程终止故障 2sshd_config 写入无效参数hello world配置语法错误故障复现代码# 向sshd配置文件末尾写入无效内容hello world制造语法错误[rootserver ~]# echo hello world /etc/ssh/sshd_config# 重启sshd服务失败[rootserver ~]# systemctl restart sshdJobforsshd.service failed because the control process exited with error code. Seesystemctl status sshd.serviceandjournalctl -xefordetails.# 没有详细的错误提示排错完整思路故障现象sshd 启动失败无直观提示监控 messages 日志抓取报错关键报错Bad configuration option: hello提示存在不认识的配置参数根因sshd 读取配置时识别到非法参数终止启动流程将后台进程终止修复方法1提示141行有语法错误使用141快速定位到141行将hello world删除并重启服务。修复方法2sed 删除包含 hello 的错误行# -i 直接修改文件/hello/d 删除匹配hello的行[rootserver ~]# sed -i /hello/d /etc/ssh/sshd_config[rootserver ~]# systemctl restart sshd通用排错模板文本框以后任何 systemd 服务启动失败统一流程tail -f /var/log/messages 实时监控日志重启异常服务捕获报错关键字根据报错修复文件 / 配置重启服务验证恢复故障 3在rootserver下执行 sudo vim /etc/ssh/sshd_config,ctrlZ 暂停后放到后台运行又切换到普通用户jhlserver中执行sudo vim /etc/ssh/sshd_config错误提示为有个进程正在运行。报错的信息如下图故障复现代码排错完整思路1.既然有个进程正在运行就用ps 进程ID 命令进行查看2.查看到进程的状态为T暂停的意思.3.使用tty查看终端并使用jobs 查看后台的进程发现在普通用户下用jobs查看没有再切换到root下用jobs查看.4.将后台进程用fg命令放入前台CTRLc 终止前台进程再用ps 命令查看5.验证普通用户jhlserver中执行sudo vim /etc/ssh/sshd_config没有报错信息可以正常进入编辑模式。错误做法将别人正在编辑的文件进行kill -9 强制杀死进程。[jianghuilinserver ~]sudovim/etc/ssh/sshd_config[jianghuilinserver ~]sudokill-911138# 用ps 查看,没有进程[jianghuilinserver ~]ps-CvimPID TTY TIME CMD# 再次vim 还是出现报错信息[jianghuilinserver ~]sudovim/etc/ssh/sshd_config如何解决将缓存文件删掉。用rm命令补充是否能kill取决于什么应用管理员这个程序是由谁负责的补充:并不是所有的日志都被存放在/var/log/messages中/var/log/messages存放的是操作系统的日志。虽然系统提供了日志服务但并不会记录所有内容。系统中的应用程序是否使用 rsyslog 服务记录日志取决于应用程序设计。例如httpd 服务使用自己的日志记录。sshd 服务使用 rsyslog 服务记录登录和退出日志。五、systemd-journald 二进制日志体系systemd-journald 配置文件/etc/systemd/journald.conf举一反三找到其他服务的相关配置文件5.1 journald 核心特点二进制存储不能 cat/less 直接读取专用工具journalctl解析收集全系统日志支持按服务、时间、日志级别精准过滤默认内存存储服务器重启日志清空需手动配置持久化到磁盘。5.2 日志持久化存储配置实验实验目的解决默认日志重启丢失问题配置永久保存日志到磁盘长期追溯历史故障。实验思路修改 journald 主配置文件 Storage 参数为 persistent重启 journald 服务加载配置重启服务器验证日志是否保留。逐行命令注释# 编辑journald配置文件[rootserver ~]# vim /etc/systemd/journald.conf[Journal]# Storageauto 注释默认配置Storagepersistent# 重启日志服务生效[rootserver ~]# systemctl restart systemd-journald# 查看持久化日志存储目录自动生成机器唯一ID文件夹[rootserver ~]# ls /var/log/journal/b8b0960cabe3452ca432f45acb1df028Storage 参数对照表[rootsever ~18:23:18]# man journald.conf# 进入文件输入关键字进行搜索/Storage参数值存储路径重启日志保留适用场景volatile/run/log/journal内存不保留重启清空临时测试机器persistent/var/log/journal磁盘永久保存生产服务器推荐auto自动判断目录有目录则持久否则内存系统默认配置六、journalctl 高频查询命令大全每条参数详细解释# 1. 查看全部系统日志分页展示[rootserver ~]# journalctl# journalctl二进制日志专用查看工具# G 跳到最后 g 跳到最前# 2. -f 实时动态刷新日志等同于tail -f[rootserver ~]# journalctl -f# 3. -b 0 查看本次开机所有日志-b 1上一次开机日志[rootserver ~]# journalctl -b 0# 4. -n 5 只输出最后5条日志[rootserver ~]# journalctl -n 5# 5. -p err 只过滤错误级别及以上严重日志快速定位故障[rootserver ~]# journalctl -p err# 6. --since today 筛选今日全部日志--since -1 hour 一小时内日志[rootserver ~]# journalctl --since today[rootserver ~]# journalctl --since -1 hour# 7. -o verbose 输出日志完整底层字段深度排查使用[rootserver ~]# journalctl -o verbose# 最常用# 8. -u sshd.service 只查看sshd服务专属日志排查SSH故障首选[rootserver ~]# journalctl -u sshd.service# 实时更新[rootserver ~]# journalctl -u sshd.service -f拓展journalctl -f 后台长期监控日志解决占用终端痛点实验需求前台执行 journalctl -f 会霸占终端无法同时操作服务器放到后台持续采集日志关闭 SSH 不中断。推荐长期后台命令带完整注释# nohup忽略挂断信号关闭ssh进程不退出--no-pager关闭分页器后台必加# /tmp/journal_monitor.log 21 标准输出错误输出全部写入日志文件丢后台[rootserver ~]# nohup journalctl -f --no-pager /tmp/journal_monitor.log 21 # 实时查看后台采集到的日志[rootserver ~]# tail -f /tmp/journal_monitor.log# 停止后台监控[rootserver ~]# ps aux | grep journalctl[rootserver ~]# kill 查到的进程PID⚠️避坑提示不加--no-pager后台无日志输出分页工具会卡住采集进程。七、journalctl 三大真实故障完整排错实战故障 1sshd_config 文件丢失服务启动失败复现操作[rootserver ~]# mv /etc/ssh/sshd_config .[rootserver ~]# systemctl restart sshd# 监控日志进程放后台去刷新日志[rootserver ~]# journalctl -f # 再次restart[rootserver ~]# systemctl restart sshd排错思路实时监控 journal 日志journalctl -f捕获报错/etc/ssh/sshd_config: No such file or directory根因配置文件缺失修复移回文件重启 sshd。修复代码故障 2sshd 配置写入非法参数[rootserver ~]# echo PermitRootLogin hahaha /etc/ssh/sshd_config[rootserver ~]# systemctl restart sshd排错思路journalctl -f 抓取报错不支持的配置项 hahaha使用 sed 删除错误行重启服务恢复。# 重启服务时动态监控日志[rootserver ~]# journalctl -f7月2414:30:03 server.laoma.cloud systemd[1]: Stopped OpenSSH server daemon.7月2414:30:03 server.laoma.cloud systemd[1]: Starting OpenSSH server daemon...7月2414:30:03 server.laoma.cloud sshd[2806]: /etc/ssh/sshd_config line141: unsupported optionhahaha.7月2414:30:03 server.laoma.cloud systemd[1]: sshd.service: main process exited,codeexited,status257月2414:30:03 server.laoma.cloud systemd[1]: Failed to start OpenSSH server daemon.7月2414:30:03 server.laoma.cloud systemd[1]: Unit sshd.service entered failed state.# 清理对应无效记录并重启服务[rootserver ~14:33:32]# sed -i /hahaha/d /etc/ssh/sshd_config[rootserver ~]# systemctl restart sshd故障 3httpd 监听端口非法80000 超出端口范围[rootserver ~]# yum install -y httpd[rootserver ~]# sed -i s/Listen 80/Listen 80000/g /etc/httpd/conf/httpd.conf[rootserver ~]# systemctl restart httpd排错思路监控 journal 日志报错Invalid address or port非法端口还原 Listen 80 标准端口重启 httpd 服务正常启动。处理过程通过日志发现AH00526: Syntax error on line 42 of /etc/httpd/conf/httpd.conf# 重启服务时动态监控日志[rootserver ~]# journalctl -f7月2414:34:49 server.laoma.cloud systemd[1]: Starting The Apache HTTP Server...7月2414:34:49 server.laoma.cloud httpd[2877]: AH00526: Syntax error on line42of /etc/httpd/conf/httpd.conf:7月2414:34:49 server.laoma.cloud httpd[2877]: Invalid address or port7月2414:34:49 server.laoma.cloud systemd[1]: httpd.service: main process exited,codeexited,status1/FAILURE7月2414:34:49 server.laoma.cloud systemd[1]: Failed to start The Apache HTTP Server.7月2414:34:49 server.laoma.cloud systemd[1]: Unit httpd.service entered failed state.# 修改回来并重启服务[rootserver ~]# sed -i s/Listen 80000/Listen 80/g /etc/httpd/conf/httpd.conf[rootserver ~]# systemctl restart httpd统一排错流程总结文本框服务启动失败 →journalctl -f实时监控日志重启异常服务捕获红色报错关键字根据报错修改配置 / 恢复缺失文件重启服务验证运行状态八、小白终极总结1. 两套日志工具使用场景区分rsyslog文本日志适合长期归档、简单查看固定日志路径/var/log/journalctl二进制日志过滤、按服务 / 时间筛选更强故障排查首选。2. 核心实验收获掌握日志 facility、优先级、匹配符号规则可自定义业务专属日志学会两种日志体系排查服务启动故障的标准流程实现 journalctl 后台长期监控解放终端理解 SSH 登录、服务崩溃日志存放位置以后遇到同类问题不用到处查资料。3. 运维面试高频考点rsyslog 和 systemd-journald 的区别与分工/var/log/secure、/var/log/messages 分别存放什么日志journalctl 日志如何永久保存配置参数是什么服务启动失败怎么通过日志快速定位报错自定义 rsyslog 日志如何编写规则logger 命令作用

看不懂 Linux 日志？rsyslog+journalctl 从 0 到 1 精讲，排错效率直接翻倍

相关推荐

后端开发中容易被忽视的几项性能瓶颈

为什么说后端开发更像一门系统设计的手艺

Linux命令-suspend（挂起 Shell）

更多资讯

大模型推理弹性扩容新范式：Upcycle与YOCO协同优化显存与计算

geckodriver配置与Selenium Firefox自动化打包排错实战

LXC原理与实战：Linux内核级容器技术详解

军工卫星视频传输的WebUploader增强方案

深入解析AQS原理与ReentrantLock实现

Java工程师转型大模型：核心技能与高薪路径

今日更新

基于YOLOv11的石油泄漏智能检测系统开发实践

AI行业变局：合规、Mod化与上下文管理的实战启示

计算机视觉与AI原生应用融合的技术实践

本周精选

防幻觉智能体架构：电源硬件设计中的大模型编排与工具化实践

OpenGL面试核心考点：渲染管线、矩阵变换与性能排查全解析

全国计算机二级C语言真题PDF高效刷题指南

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？