การเรียนรู้บันทึก systemd:คำแนะนำฉบับสมบูรณ์เกี่ยวกับการใช้ Journalctl บน Linux

systemctl status systemd-journald

หากบริการไม่ทำงานหรือล้มเหลว การรีสตาร์ทควรคืนค่าฟังก์ชันการรวบรวมบันทึก

ตัวกรองอาจแคบเกินไป

บางครั้งปัญหาไม่ได้อยู่ที่ตัวบันทึก แต่อยู่ที่วิธีที่คุณพยายามเข้าถึงบันทึก การใช้ตัวกรองแบบแคบ เช่น ชื่อหน่วยที่ไม่มีอยู่จริงหรือช่วงเวลาที่เจาะจงมากเกินไป ไม่สามารถให้ผลลัพธ์กลับคืนมาได้แม้ว่าจะมีข้อมูลที่เกี่ยวข้องก็ตาม การเรียกใช้ 1787 มักจะเป็นประโยชน์ โดยไม่มีแฟล็กใดๆ เพื่อยืนยันว่ากำลังรวบรวมบันทึก จากนั้นจึงใช้ตัวกรองตามความจำเป็นอย่างต่อเนื่อง

บันทึกอาจถูกหมุนเวียนหรือถูกลบ

สุดท้ายนี้ โปรดทราบว่าบันทึกเจอร์นัลจะขึ้นอยู่กับขนาดและนโยบายการเก็บรักษาตามเวลา หากบันทึกเก่าถูกดูดออกไปภายใน 1795 พวกเขาจะไม่สามารถเข้าถึงได้อีกต่อไป คุณสามารถตรวจสอบจำนวนพื้นที่ที่เจอร์นัลใช้อยู่ในปัจจุบันด้วย:

journalctl --disk-usage

หากคุณได้กำหนดค่าระบบของคุณให้จำกัดขนาดเจอร์นัลอย่างมาก หรือหากคุณเพิ่งรันคำสั่งสูญญากาศด้วยตนเอง บันทึกอาจถูกลบออกจากฐานข้อมูล

2. การอนุญาตถูกปฏิเสธเมื่อใช้ 1802

หากคุณพยายามเรียกใช้ 1817 ในฐานะผู้ใช้ทั่วไปและได้รับข้อความ “การอนุญาตถูกปฏิเสธ” คุณไม่ได้อยู่คนเดียว ตามค่าเริ่มต้น การเข้าถึงบันทึกของระบบจะถูกจำกัดไว้ที่ 1822 ผู้ใช้และสมาชิกของ 1834 กลุ่ม ข้อจำกัดนี้ได้รับการออกแบบมาเพื่อปกป้องข้อมูลบันทึกที่อาจมีความละเอียดอ่อน ซึ่งอาจประกอบด้วยข้อมูลเกี่ยวกับกิจกรรมของผู้ใช้ กระบวนการของระบบ และความล้มเหลวของบริการ

กำลังทำงาน 1847 ด้วยสิทธิพิเศษระดับสูง

วิธีแก้ปัญหาที่ง่ายและธรรมดาที่สุดคือการรันคำสั่งด้วย 1853 . สิ่งนี้จะยกระดับสิทธิ์ของคุณในช่วงระยะเวลาของคำสั่งและช่วยให้คุณดูบันทึกของระบบทั้งหมด:

sudo journalctl

หากคุณกำลังเขียนสคริปต์หรือตรวจสอบบันทึกบ่อยครั้ง ให้พิมพ์ 1866 ทุกครั้งอาจกลายเป็นเรื่องน่าเบื่อ ในกรณีเช่นนี้ การให้สิทธิ์ผู้ใช้ของคุณเข้าถึงวารสารอย่างถาวรอาจเป็นประโยชน์มากกว่า

ให้สิทธิ์การเข้าถึงแก่ผู้ใช้ของคุณผ่านการเป็นสมาชิกกลุ่ม

เพื่อหลีกเลี่ยงไม่ให้ต้องใช้ 1874 คุณสามารถเพิ่มผู้ใช้ของคุณไปที่ 1885 กลุ่ม กลุ่มนี้ได้รับการออกแบบมาเป็นพิเศษเพื่อให้ผู้ใช้ที่ไม่ใช่รูทสามารถอ่านบันทึกเจอร์นัลได้ คุณสามารถเพิ่มผู้ใช้ของคุณในกลุ่มด้วยคำสั่งต่อไปนี้:

sudo usermod -aG systemd-journal yourusername

อย่าลืมแทนที่ 1890 ด้วยชื่อล็อกอินจริงของคุณ หลังจากเพิ่มผู้ใช้ในกลุ่มแล้ว คุณต้อง ออกจากระบบและกลับเข้าสู่ระบบใหม่ เพื่อให้การเปลี่ยนแปลงมีผล เมื่อเสร็จแล้ว คุณควรจะสามารถเรียกใช้ 1907 ได้ โดยไม่ต้องใช้สิทธิ์ระดับสูง

การตรวจสอบสิทธิ์การอนุญาตวารสาร

หากการเป็นสมาชิกกลุ่มไม่สามารถแก้ไขปัญหาได้ อาจมีปัญหากับสิทธิ์ของไฟล์หรือไดเรกทอรี 1917 ไดเร็กทอรีควรเป็นของ 1926 และจัดกลุ่มภายใต้ 1939 . ต้องตั้งค่าสิทธิ์การอ่านกลุ่มอย่างถูกต้อง ไม่เช่นนั้นการเข้าถึงจะยังคงถูกปฏิเสธแม้ว่าคุณจะอยู่ในกลุ่มที่ถูกต้องก็ตาม คุณสามารถแก้ไขได้ด้วย:

sudo chown root:systemd-journal /var/log/journal
sudo chmod 2755 /var/log/journal

ด้วยการอนุญาตเหล่านี้และการเป็นสมาชิกกลุ่มที่เหมาะสม ผู้ใช้ที่ไม่ใช่รูทจะสามารถเข้าถึงบันทึกได้อย่างปลอดภัย

3. บันทึกไม่คงอยู่หลังจากรีบูต

หากคุณสังเกตเห็นว่าบันทึกหายไปทุกครั้งที่เซิร์ฟเวอร์ของคุณรีบูต ระบบของคุณอาจถูกกำหนดค่าให้จัดเก็บบันทึกในหน่วยความจำชั่วคราวเท่านั้น ซึ่งจะหายไปเมื่อเครื่องปิด นี่เป็นค่าเริ่มต้นทั่วไปในสภาพแวดล้อมการกระจาย Linux และคอนเทนเนอร์จำนวนมาก โดยเฉพาะอย่างยิ่งสภาพแวดล้อมที่ได้รับการปรับให้เหมาะกับการใช้งานดิสก์เหลือน้อย

การเปิดใช้งานการบันทึกแบบถาวร

หากต้องการเก็บบันทึกระหว่างการรีบูต คุณต้องกำหนดค่าเจอร์นัลให้ใช้พื้นที่เก็บข้อมูลถาวร สิ่งนี้จำเป็นต้องสร้างไดเร็กทอรีที่เหมาะสมซึ่งเจอร์นัลสามารถเขียนบันทึกลงดิสก์ได้ เส้นทาง 1949 ใช้เพื่อจุดประสงค์นี้ หากไม่มีอยู่ ให้สร้างและรีสตาร์ทเดมอนการบันทึก:

sudo mkdir -p /var/log/journal
sudo systemd-tmpfiles --create --prefix /var/log/journal
sudo systemctl restart systemd-journald

หลังจากเสร็จสิ้น บันทึกในอนาคตทั้งหมดจะถูกเขียนลงดิสก์และรอดจากการรีบูตระบบ

การตรวจสอบการกำหนดค่าเจอร์นัล

หากมีไดเร็กทอรีอยู่แต่บันทึกยังคงไม่คงอยู่ ก็ควรตรวจสอบ 1953 ไฟล์การกำหนดค่า:

sudo nano /etc/systemd/journald.conf

ในไฟล์นี้ ให้มองหา 1967 คำสั่งภายใต้ 1972 ส่วน หากตั้งค่าเป็น 1983 ให้เปลี่ยนเป็น 1992 :

[Journal]
Storage=persistent

บันทึกไฟล์และเริ่มบริการใหม่เพื่อใช้การเปลี่ยนแปลง เพื่อให้แน่ใจว่าระบบจะเขียนบันทึกลงดิสก์แทน RAM ต่อจากนี้ไป

4. การดีบักบริการ systemd ที่ล้มเหลว

When a systemd-managed service fails to start or crashes unexpectedly, 2004 becomes an essential tool for identifying the root cause. Instead of searching through multiple log files, the journal collects all messages related to a service in one place, complete with metadata, timestamps, and priority levels.

Reviewing the Service Status

The first step when troubleshooting is to examine the service status. The 2015 command provides a snapshot of the service’s current state, including the most recent log entries. For example:

systemctl status nginx.service

This output often reveals immediate issues such as misconfigured paths, permission problems, or exit codes. The exit code and signal information, if present, can be especially helpful for determining whether the service failed on its own or was killed by the system.

Viewing the Full Log History

To see all logs related to the failed service, use 2028 with the 2032 flag:

journalctl -u nginx.service

This provides a chronological view of messages generated by the service. If you’re trying to diagnose a failure that happened during the last system boot, it’s helpful to limit the output to just that session:

journalctl -u nginx.service -b

Investigating Failure Context

You can often get to the heart of the issue by reading the log entries from a few minutes before and after the failure. Use time-based filters to narrow your focus:

journalctl -u nginx.service --since "10 minutes ago"

This can help identify whether the problem was isolated or part of a larger system issue.

For deeper analysis, you can enable verbose output or view extended error messages using:

journalctl -xe

This command highlights priority messages and recent failures, which can be useful when a service doesn’t leave obvious clues in the standard output.

5. Monitoring SSH Login Attempts

SSH is a primary access method for most Linux servers, which also makes it a common vector for brute-force attacks, unauthorized access attempts, or general auditing. Fortunately, 2042 allows you to monitor all SSH-related activity with ease.

Viewing SSH Logs

Systemd tracks SSH activity under the 2054 or 2066 unit, depending on your distribution. To see all entries related to SSH:

journalctl -u ssh.service

or, on some systems:

journalctl -u sshd.service

These logs include login attempts, authentication failures, session closures, and key negotiation messages. It’s an excellent first step when verifying who accessed the server and when.

Following SSH Activity in Real Time

For real-time monitoring, you can use 2075 in follow mode. This is especially useful if you suspect an intrusion or want to keep an eye on active login attempts:

journalctl -f -u ssh.service

Each new login event will be printed live as it happens, making it easier to spot failed logins or rapid connection attempts that may indicate malicious behavior.

Filtering by Login Events

If you’re looking for specific login messages, such as failed passwords or accepted connections, you can filter the journal output using keyword matches:

journalctl -u ssh.service | grep "Failed password"
journalctl -u ssh.service | grep "Accepted password"

These messages indicate whether a login was successful and which user attempted it. You can combine these with time filters to narrow the search to a specific window:

journalctl -u ssh.service --since "1 hour ago"

This can be extremely helpful during security audits or forensic investigations.

Frequently Asked Questions (FAQs)

1. Why does 2081 require root access?

By default, 2094 requires root access because it can expose sensitive information collected from system services, kernel messages, user sessions, and background daemons. These logs may include usernames, environment variables, error traces, authentication attempts, and other details that could pose a security risk if accessed by unauthorized users.

To safeguard this data, systemd restricts access to the system journal. However, you don’t always need to use 2107 . Non-root users can read logs if they are part of the 2111 กลุ่ม You can add your user to this group with:

sudo usermod -aG systemd-journal yourusername

After logging out and back in, you should be able to access logs without elevated privileges, as long as file permissions on the journal directories are properly configured.

2. How do I make logs persistent across reboots?

To preserve logs after a reboot, you need to configure 2125 to use persistent storage rather than volatile memory. By default, some distributions store logs in 2134 , a temporary directory cleared at shutdown. To enable persistent logging:

1. Create the persistent journal directory:

   sudo mkdir -p /var/log/journal
   

2. Set permissions if needed:

   sudo systemd-tmpfiles --create --prefix /var/log/journal
   

3. Restart the journal daemon:

   sudo systemctl restart systemd-journald
   

4. Optional:Verify or edit configuration:

   Open 2142 and ensure the following line is set:

   Storage=persistent
   

This configuration ensures your system retains log data across reboots, making it easier to audit and debug historical issues.

3. Can I clear 2158 logs?

Yes, 2160 allows you to clear logs using the 2170 options provided by 2189 . These commands help reduce disk usage by deleting old or excess log data.

Here are common methods to clear or shrink journal logs:

• Remove logs older than a specific time:

  sudo journalctl --vacuum-time=2weeks
  

• Limit total disk usage for all logs:

  sudo journalctl --vacuum-size=500M
  

• Restrict the number of journal files kept:

  sudo journalctl --vacuum-files=10
  

These commands do not erase current or recent logs unless they exceed the defined threshold. To fully remove all logs, you can manually delete the journal files from 2190 , but this is rarely necessary and not generally recommended for production systems.

4. How do I access systemd logs?

You can access systemd logs using the 2207 command, which interfaces directly with the systemd journal. All logs related to services managed by systemd, such as boot messages, unit failures, and runtime errors, are stored in the journal.

For general access:

journalctl

To see logs for a specific systemd service, such as 2216 , use:

journalctl -u nginx.service

You can also filter by boot session, priority level, time range, or combine multiple services to gain deeper insight. Unlike traditional log files, 2227 provides a unified, indexed view of log messages from multiple sources.

5. Which command is used to view systemd logs?

The primary command used to view systemd logs is:

journalctl

This tool is included with 2233 and provides access to all logs collected by the 2246 service, including kernel messages, early boot logs, system services, and user sessions.

You can tailor the command with various options:

• View logs for a specific service:

  journalctl -u ssh.service
  

• Filter logs by priority:

  journalctl -p err
  

• Display logs in real time:

  journalctl -f
  

This makes 2256 the most versatile and comprehensive utility for viewing systemd-related logs.

6. How to see kernel logs through 2269 ?

Kernel messages, such as those traditionally viewed using 2279 , are also available through the systemd journal. To display only kernel messages using 2280 , use the 2298 flag:

journalctl -k

This command filters the output to include only messages originating from the kernel. It is especially useful for diagnosing hardware issues, kernel module problems, or boot-time errors. You can also use the 2303 option to show messages from the current or previous boot:

journalctl -k -b -1

This gives you consistent access to kernel logs, integrated with logs from other services for better contextual understanding.

7. What is the difference between 2316 and 2325 ?

While both 2332 and 2348 can show kernel logs, they serve different purposes and operate under different mechanisms.

In short, 2389 is limited to low-level kernel logs in real time, while 2392 offers a more complete, structured, and persistent logging interface that encompasses the entire system.

บทสรุป

As you can see, the 2404 journal is incredibly useful for collecting and managing your system and application data. Most of the flexibility comes from the extensive metadata automatically recorded and the centralized nature of the log.

In this guide, we covered basic log viewing, time-based and field-based filtering, monitoring kernel and service logs, output formatting, and real-time log tracking. We also discussed journal maintenance, storage limits, and troubleshooting common issues like missing logs or permission errors.

The 2418 command makes it easy to take advantage of the advanced features of the journal and to do extensive analysis and relational debugging of different application components. By mastering journalctl, you gain a versatile, unified logging interface for debugging, monitoring, and auditing across your entire system.

For more detailed insight into logging and troubleshooting on Linux systems, explore the following related tutorials:

• How To Troubleshoot Common Apache Errors
• How To Centralize Logs With Journald on Debian 10
• How To Centralize Logs With Journald on Ubuntu 20.04

This work is licensed under a Creative Commons Attribution-NonCommercial- ShareAlike 4.0 International License.