好的，这是一份详细的 journalctl 使用教程。

journalctl 是 systemd 日志系统（systemd-journald）的命令行查询工具。在所有现代 Linux 发行版（如 Ubuntu 16.04+, CentOS/RHEL 7+, Debian 8+）上，systemd 是默认的 init 系统，journalctl 也因此成为了查看和管理系统日志的标准方式。

它取代了（或统一了）旧的 /var/log/syslog, /var/log/messages, /var/log/dmesg 等零散的日志文件。

为什么使用 journalctl？

• 集中化： 所有 systemd 管理的服务（包括 Nginx, SSHd, Docker 等）、系统消息、内核日志 (dmesg) 都会自动汇集到 journald。
• 结构化： 日志不再是纯文本，而是以二进制格式存储，并附带了元数据（如服务单元、PID、UID、优先级等），这使得过滤查询极其强大。
• 实时性： 可以轻松实时跟踪（follow）所有日志或特定服务的日志。

1. 基础用法

1.1. 查看所有日志

默认情况下，journalctl 会按时间顺序显示所有日志，并自动通过 less 分页器显示（所以你可以用箭头键上下滚动，按 q 退出）。

1
journalctl

提示： 在 less 中，按 G (大写) 可立即跳到日志末尾（最新），按 g (小写) 跳到开头。

1.2. 实时跟踪日志 (live tail)

这是最常用的命令之一，等同于 tail -f。

2
1
journalctl -f
2
# (按 Ctrl+C 停止)

1.3. 查看最新日志

使用 -n 标志可以指定显示最新的 N 行。

5
1
# 显示最新的 20 行日志
2
journalctl -n 20
3
4
# 实时跟踪最新的 100 行
5
journalctl -n 100 -f

1.4. 按时间倒序查看

默认是时间正序（旧 -> 新）。使用 -r (--reverse) 可以反转，让最新日志显示在最上面。这对于快速查看“刚刚发生了什么”非常有用。

2
1
journalctl -r
2
# (你会看到最新的日志在第一行，按 q 退出)

1.5. 查看本次启动的日志

使用 -b (--boot) 标志，可以只显示本次系统启动以来的所有日志，自动过滤掉以前的旧日志。

1
1
journalctl -b

1.6. 查看上一次启动的日志

这对于排查导致系统崩溃或重启的问题至关重要。

5
1
# -b -1 指上一次启动
2
journalctl -b -1
3
4
# -b -2 指上上次启动
5
journalctl -b -2

你可以使用 journalctl --list-boots 查看所有可用的启动历史记录。

2. 强大的过滤功能（核心）

journalctl 真正的威力在于其过滤能力。

2.1. 按服务单元 (Service Unit) 过滤 ⭐

这是最重要的过滤方式，用于查看特定服务（如 nginx 或 sshd）的日志。

11
1
# 查看 nginx 服务的所有日志
2
journalctl -u nginx.service
3
4
# 缩写 (通常 .service 可以省略)
5
journalctl -u nginx
6
7
# 实时跟踪 sshd 服务的日志
8
journalctl -u sshd -f
9
10
# 查看 docker 和 nginx 两个服务的日志
11
journalctl -u nginx -u docker

2.2. 按时间范围过滤

journalctl 可以理解人类可读的时间短语。

• --since：从...开始
• --until：到...为止

11
1
# 查看 1 小时前至今的所有日志
2
journalctl --since "1 hour ago"
3
4
# 查看 10 分钟前至今的 sshd 日志
5
journalctl -u sshd --since "10 min ago"
6
7
# 查看昨天的所有日志
8
journalctl --since "yesterday" --until "today"
9
10
# 查看特定时间范围内的日志
11
journalctl --since "2025-10-28 09:00:00" --until "2025-10-28 09:30:00"

2.3. 按优先级 (Priority) 过滤

用于快速筛选出错误或警告信息。优先级从高到低：

emerg (0), alert (1), crit (2), err (3), warning (4), notice (5), info (6), debug (7)

使用 -p 标志。

11
1
# 只显示错误(err)及以上级别的日志 (即 err, crit, alert, emerg)
2
journalctl -p err
3
4
# 也可以使用数字
5
journalctl -p 3
6
7
# 查看本次启动以来的所有错误
8
journalctl -p err -b
9
10
# 查看 nginx 服务的所有警告(warning)及以上级别日志
11
journalctl -u nginx -p warning

2.4. 查看内核日志

这等同于运行 dmesg 命令。

3
1
journalctl -k
2
# 或
3
journalctl --dmesg

2.5. 按可执行文件或 PID 过滤

有时你不知道服务名，只知道进程 ID 或可执行文件路径。

8
1
# 按进程 ID
2
journalctl _PID=1234
3
4
# 按用户 ID
5
journalctl _UID=1000
6
7
# 按可执行文件路径
8
journalctl /usr/sbin/nginx

3. 日志输出格式 (-o)

journald 存储的是结构化数据，你可以改变它的输出格式。

• short：(默认) 经典的 syslog 格式。
• short-precise：带微秒级时间戳的 short 格式。
• verbose：显示日志的所有字段，包括 PID、UID、GID 等（信息量极大）。
• json：单行 JSON 格式。
• json-pretty：格式化（易读）的 JSON 格式，非常适合调试或管道给 jq。

5
1
# 以高精度时间戳显示
2
journalctl -o short-precise
3
4
# 以易读的 JSON 格式显示 nginx 的最后 5 条日志
5
journalctl -u nginx -n 5 -o json-pretty

4. 日志管理（运维必备）

4.1. 启用日志持久化 (Persistence) ⭐

默认情况下，很多 systemd 发行版（如早期的 Ubuntu）将日志存储在 /run/log/journal/ 目录。run 目录是一个内存文件系统 (tmpfs)，这意味着系统重启后所有日志都会丢失。

检查持久化状态：

3
1
journalctl --disk-usage
2
# 如果看到 "Archived and active journals" 类似字样，说明是持久化的。
3
# 如果只看到 "Active" 并且路径在 /run/ 下，说明是易失的。

如何启用持久化：

你只需创建 journald 默认的持久化存储目录即可。

6
1
# 1. 创建目录
2
sudo mkdir -p /var/log/journal
3
4
# 2. 重启 journald 服务使其生效
5
sudo systemctl restart systemd-journald
6
# (或者直接重启服务器 sudo reboot)

重启服务后，journald 会自动开始将日志写入 /var/log/journal/，重启后日志将保留。

4.2. 检查日志磁盘占用

1
1
journalctl --disk-usage

4.3. 清理旧日志 (Vacuuming)

如果日志占用了太多空间，可以手动清理。journald 也可以自动管理大小，但手动清理更直接。

清理方式 1：按大小限制（推荐）

这会删除最旧的日志，直到日志总大小小于指定值。

5
1
# 清理旧日志，使总占用空间保留在 1GB
2
sudo journalctl --vacuum-size=1G
3
4
# 保留 100MB
5
sudo journalctl --vacuum-size=100M

清理方式 2：按时间限制

这会删除指定时间之前的所有日志。

5
1
# 清理旧日志，只保留最近 7 天的
2
sudo journalctl --vacuum-time=7d
3
4
# 只保留最近 1 小时的
5
sudo journalctl --vacuum-time=1h

4.4. 永久配置日志大小限制

你可以编辑配置文件 /etc/systemd/journald.conf 来永久限制日志大小。

10
1
# 1. 编辑配置文件
2
sudo vim /etc/systemd/journald.conf
3
4
# 2. 找到并取消注释 (去掉 #) 以下行，并修改值
5
[Journal]
6
SystemMaxUse=1G
7
# RuntimeMaxUse=100M  (这是 /run 目录的大小限制)
8
9
# 3. 重启服务使其生效
10
sudo systemctl restart systemd-journald

SystemMaxUse 是 /var/log/journal (持久化) 的大小上限。

journalctl 快速备忘录