Journalctl

journalctl - Abfragen des Systemd-Journals

Beschreibung

journalctl kann zur Abfrage von Inhalten des Journals von systemd wie von systemd-journald.service(8) geschrieben benutzt werden

systemd bringt ein eigenes Logging-Framework namens journald mit.

• Dass die Log-Dateien binär gespeichert werden, um sie länger und fälschungssicher – so zumindest der Anspruch der systemd-Entwickler – speichern zu können, ist jedoch ein großer Kritikpunkt der Linux-Community.
• Allerdings hat journald Charme und bringt außer der Umgewöhnung auch einige Vorteile mit, wie beispielsweise dass Fehler in den Log-Dateien in Rot markiert werden und so eher auffallen.

Rufen Sie beispielsweise journalctl ohne weitere Parameter auf, bekommen Sie einen interaktiven Auszug aller Log-Dateien, so wie sie früher in /var/log/syslog oder /var/log/messages landeten.

• Hier können Sie auch durch Eingabe eines großen »F« in den Follow-Modus wechseln.
• Mit dem Parameter -f oder --follow wird Ihnen das Log analog zu einem tail -f angezeigt.
• Wenn Sie die letzten 20 Log-Einträge anschauen wollen, benutzen Sie -n 20 oder --lines=20.
• Der Parameter --reverse zeigt die Einträge in umgekehrter Reihenfolge an.

Einträge eines bestimmten Zeitraums grenzen Sie durch --since und --until ein.

• Dabei wird ein Datum in der Form "2018-07-30 18:17:16" ausgewertet.
• Ohne Datum wird der heutige Tag angenommen, ohne Sekunden wird 0 (null) angenommen, Sonderausdrücke wie yesterday, today, tomorrow oder now sind möglich.

Einer der wichtigsten Parameter ist -u oder --unit=, womit nur die Log-Dateien einer einzelnen Unit oder eines Satzes an Units ausgegeben werden.

Wollen Sie beispielsweise Log-Einträge des SSH-Daemons vom 5. Juni 2023 zwischen 13:00 Uhr und 14:00 Uhr haben, geben Sie den Befehl aus Listing 2.24 ein:

Log-Auszug des SSH-Daemons

sudo journalctl --since="2023-06-05 13:00" --until="2023-06-05 14:00" \
--unit=sshd.service
-- Logs begin at Mo 2023-06-05 07:19:24 CEST, end at Mo 2023-06-05 15:56:51 CEST. --
Jun 05 13:07:24 centos sshd[13128]: reverse mapping checking getaddrinfo for \
1-2-3-4.a.b [1.2.3.4] failed - POSSIBLE BREAK-IN\
ATTEMPT!
Jun 05 13:07:24 centos sshd[13130]: reverse mapping checking getaddrinfo for \
1-2-3-4.a.b [1.2.3.4] failed - POSSIBLE BREAK-IN\
ATTEMPT!
Jun 05 13:07:24 centos sshd[13128]: Connection closed by 1.2.3.4 [preauth]
Jun 05 13:07:24 centos sshd[13130]: Connection closed by 1.2.3.4 [preauth]

Die Logs von journald werden nach einem Neustart gelöscht.

• Wenn Sie das nicht wollen, sollten Sie das Verzeichnis /var/log/journal anlegen und das Signal SIGUSR1 an den journald-Prozess senden.
• Damit werden die Logs in dem angegebenen Verzeichnis persistiert, sodass sie maximal zehn Prozent der Größe des Dateisystems belegen.
• Weitere Konfigurationen nehmen Sie in der Datei /etc/systemd/journald.conf vor.

Anwendung

https://www.instagram.com/p/C-U3XC5usp0

Anhang

Siehe auch

• Journalctl/tmp

Dokumentation

Man-Page

Info-Page