Linux 日志管理与 logrotate 配置完全指南

# 查看所有日志（默认显示在 pager 中）
journalctl

# 查看本次启动以来的日志
journalctl -b

# 查看上一次启动的日志
journalctl -b -1

# 查看特定 unit 的日志
journalctl -u nginx.service

# 查看指定时间范围的日志
journalctl --since "2026-06-08 00:00:00" --until "2026-06-08 23:59:59"

# 实时跟踪日志输出（类似 tail -f）
journalctl -f

# 查看内核日志
journalctl -k

# 查看指定优先级的日志（0=emerg, 1=alert, 2=crit, 3=err, 4=warning, 5=notice, 6=info, 7=debug）
journalctl -p err -b

# 创建持久化存储目录
sudo mkdir -p /var/log/journal
sudo systemd-tmpfiles --create --prefix /var/log/journal
sudo systemctl restart systemd-journald

# 查看主配置文件
cat /etc/rsyslog.conf

# 查看自定义规则
ls /etc/rsyslog.d/

# 将所有 info 及以上级别的日志记录到指定文件，排除 mail/auth/authpriv/cron
# /etc/rsyslog.d/50-default.conf
*.info;mail.none;authpriv.none;cron.none    /var/log/messages

# 将特定程序日志输出到独立文件
if $programname == 'nginx' then /var/log/nginx/error.log
& stop

# 远程日志收集（服务端）
# 在 /etc/rsyslog.conf 中取消注释
module(load="imudp")
input(type="imudp" port="514")
module(load="imtcp")
input(type="imtcp" port="514")

cat /etc/logrotate.conf

# /etc/logrotate.d/nginx
/var/log/nginx/*.log {
    daily
    missingok
    rotate 14
    compress
    delaycompress
    notifempty
    create 640 nginx adm
    sharedscripts
    postrotate
        if [ -f /var/run/nginx.pid ]; then
            kill -USR1 $(cat /var/run/nginx.pid)
        fi
    endscript
}

# /etc/logrotate.d/mariadb-slow
/var/log/mysql/mariadb-slow.log {
    daily
    rotate 30
    compress
    missingok
    notifempty
    create 640 mysql mysql
    size 500M
    postrotate
        mysqladmin flush-logs -u root -p$(cat /etc/mysql/debian.cnf | grep password | head -1 | awk '{print $3}') 2>/dev/null || true
    endscript
}

# /etc/logrotate.d/journald
/var/log/journal/*/system.journal {
    weekly
    rotate 4
    compress
    missingok
    notifempty
    size 500M
    postrotate
        journalctl --rotate 2>/dev/null || true
    endscript
}

# 强制轮转特定日志（调试模式）
sudo logrotate -vf /etc/logrotate.d/nginx

# 查看轮转状态文件
cat /var/lib/logrotate/status

# 查看 logrotate 版本
logrotate --version

# 只显示将要执行的操作，不实际执行
sudo logrotate -d /etc/logrotate.d/nginx

# 查看各日志最后轮转时间
cat /var/lib/logrotate/status | head -20

# 查看日志尾部（实时跟踪）
tail -f /var/log/nginx/access.log

# 查看日志头部
head -n 50 /var/log/syslog

# 统计 IP 访问次数
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -10

# 查看指定时间段日志
sed -n '/2026-06-09 10:00/,/2026-06-09 11:00/p' /var/log/syslog

# 搜索错误关键词
grep -i "error\|failed\|timeout" /var/log/syslog | tail -50

# 统计访问量 TOP 10 的 IP
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -10

# 统计状态码分布
awk '{print $9}' /var/log/nginx/access.log | sort | uniq -c | sort -rn

# 统计每分钟请求数
awk '{print $4}' /var/log/nginx/access.log | cut -d: -f1-2 | uniq -c | tail -20

# 统计各类错误出现次数
journalctl -p err --since "1 hour ago" --output=json | grep -o '"MESSAGE": "[^"]*"' | sort | uniq -c | sort -rn | head -20

# 检查磁盘相关错误
journalctl -k | grep -i "ata\|disk\|i/o error\|smart"

# 确保日志目录权限安全
sudo chmod 750 /var/log
sudo chown root:adm /var/log

# 限制日志文件权限
sudo find /var/log -type f -exec chmod 640 {} \;

# /etc/rsyslog.d/remote.conf
*.* @192.168.1.100:514    # UDP 发送
*.* @@192.168.1.100:514   # TCP 发送（更可靠）

# /etc/rsyslog.conf
module(load="imudp")
input(type="imudp" port="514")
module(load="imtcp")
input(type="imtcp" port="514")

# 按主机名存储日志
$template RemoteLogs,"/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log"
*.* ?RemoteLogs
& stop

# 使用 mtail 提取日志指标
# 安装 mtail
wget https://github.com/google/mtail/releases/download/v3.0.0-rc53/mtail_3.0.0-rc53_linux_amd64.deb
sudo dpkg -i mtail_3.0.0-rc53_linux_amd64.deb

# 编写日志分析规则
cat > /etc/mtail/nginx.mtail << 'EOF'
# 统计 5xx 错误数
counter nginx_http_errors
/HTTP\/1\.[01]" 5\d{2}/ {
    nginx_http_errors++
}
EOF

sudo systemctl restart mtail

#!/bin/bash
# 日志管理一键脚本 - log-management.sh

usage() {
    echo "用法: $0 [check|clean|vacuum|status]"
    echo "  check   - 检查日志空间占用"
    echo "  clean   - 清理超过 30 天的日志（保留最新 5 份）"
    echo "  vacuum  - 清理 journald 日志至 500M"
    echo "  status  - 显示各应用日志状态"
}

case "${1:-check}" in
    check)
        echo "=== 日志空间占用 ==="
        du -sh /var/log/* 2>/dev/null | sort -rh | head -20
        echo ""
        echo "=== journald 使用 ==="
        journalctl --disk-usage
        ;;
    clean)
        echo "=== 清理旧日志 ==="
        sudo find /var/log -name "*.gz" -mtime +30 -delete
        sudo find /var/log -name "*.1" -mtime +30 -delete
        sudo find /var/log -name "*.old" -mtime +30 -delete
        echo "清理完成"
        ;;
    vacuum)
        echo "=== 清理 journald 日志至 500M ==="
        sudo journalctl --vacuum-size=500M
        echo "清理完成"
        ;;
    status)
        echo "=== 各应用日志空间 ==="
        du -sh /var/log/nginx /var/log/mysql /var/log/redis 2>/dev/null
        echo ""
        echo "=== 最后轮转状态 ==="
        cat /var/lib/logrotate/status 2>/dev/null | tail -20 || echo "状态文件不存在"
        ;;
    *)
        usage
        exit 1
        ;;
esac

sudo chmod +x /usr/local/bin/log-management.sh
sudo /usr/local/bin/log-management.sh check