在日常运维和系统管理中，掌握Ubuntu日志分析技能是快速定位问题、保障系统稳定运行的关键。无论你是刚接触Linux的新手，还是有一定经验的开发者，本文将带你从零开始，一步步学会如何高效地查看、筛选和理解系统日志。
一、Ubuntu日志存储位置
Ubuntu（基于systemd）主要使用两种日志系统：
/var/log/：传统文本日志目录，包含各类服务和内核日志 journal 日志：由 systemd-journald 服务管理的二进制日志（可通过journalctl查看）
常用日志文件包括：
/var/log/syslog：系统综合日志（相当于其他发行版的 messages）
/var/log/auth.log：用户认证相关日志（如 SSH 登录）
/var/log/kern.log：内核日志
/var/log/dpkg.log：软件包安装/卸载记录
二、使用 journalctl 查看系统日志
journalctl是 Ubuntu 中最强大的日志查看工具，支持实时监控、按服务过滤、时间范围筛选等功能。
1. 基础命令
# 查看全部日志（最新在底部）sudo journalctl# 实时跟踪日志（类似 tail -f）sudo journalctl -f# 查看本次启动的日志sudo journalctl -b
2. 按服务筛选日志
这是Linux日志查看中最实用的技巧之一：
# 查看 SSH 服务日志sudo journalctl -u ssh# 查看 Nginx 服务日志sudo journalctl -u nginx# 同时查看多个服务sudo journalctl -u ssh -u nginx
3. 按时间范围筛选
# 查看今天日志sudo journalctl --since today# 查看最近1小时日志sudo journalctl --since "1 hour ago"# 查看指定时间段sudo journalctl --since "2024-06-01 08:00:00" --until "2024-06-01 18:00:00"
三、结合 grep 分析文本日志
对于
/var/log/下的传统日志文件，我们可以使用
grep、
tail等命令进行高效分析。
# 查看最近100行 syslogsudo tail -n 100 /var/log/syslog# 搜索包含 "error" 的行（忽略大小写）sudo grep -i "error" /var/log/syslog# 实时监控 auth.log 中的失败登录sudo tail -f /var/log/auth.log | grep "Failed"
四、常见故障排查场景
1. 服务无法启动
使用
journalctl查看具体错误信息：
sudo systemctl status nginxsudo journalctl -u nginx --since "5 minutes ago"
2. 系统突然卡顿或重启
检查内核日志和系统日志：
sudo journalctl -k --since "1 hour ago"sudo grep -i "oom\|panic\|segfault" /var/log/kern.log
3. 网络连接异常
查看网络服务和防火墙日志：
sudo journalctl -u NetworkManagersudo grep -i "denied" /var/log/syslog
五、提升效率的小技巧
使用-n参数限制输出行数，避免刷屏：
sudo journalctl -u ssh -n 50启用持久化日志（默认重启后 journal 日志会丢失）：
创建目录
/var/log/journal并重启 journald 服务 结合
less分页查看：
sudo journalctl | less
掌握这些 journalctl使用技巧 和日志分析方法，你就能在面对系统异常时快速定位根源。记住，系统日志排查不是魔法，而是通过日积月累的经验和正确的工具组合实现的高效运维能力。
希望这篇教程能帮助你在 Ubuntu 系统管理之路上更进一步！如有疑问，欢迎在评论区交流。
