SovaWiki

Эта страница только для чтения. Вы можете посмотреть её исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.
<!DOCTYPE markdown>

# Как посмотреть логи в Linux

## Расположение логов по-умолчанию

Большинство файлов логов Linux находятся в папке `/var/log/` вы можете список файлов логов для вашей системы с помощью команды ls:

```
 ls -l /var/log/
```

Все файлы журналов, можно отнести к одной из следующих категорий:
 - приложения;
 - события;
 - службы;
 - системный. 

### Основные журналы

 * **/var/log/syslog** или **/var/log/messages** содержит глобальный системный журнал, в котором пишутся сообщения с момента запуска системы, от ядра Linux, различных служб, обнаруженных устройствах, сетевых интерфейсов и много другого.

 * **/var/log/auth.log** или **/var/log/secure** — информация об авторизации пользователей, включая удачные и неудачные попытки входа в систему, а также задействованные механизмы аутентификации.

 * **/var/log/dmesg** — драйвера устройств. Одноименной командой можно просмотреть вывод содержимого файла. Размер журнала ограничен, когда файл достигнет своего предела, старые сообщения будут перезаписаны более новыми. Задав ключ --level= можно отфильтровать вывод по критерию значимости.

------
 Поддерживаемые уровни журналирования (приоритеты):
   emerg - система неиспользуемая
   alert - действие должно быть произведено немедленно
    crit - условия критичности
     err - условия ошибок
    warn - условия предупреждений
  notice - обычные, но значимые условия
    info - информационный
   debug - отладочные сообщения

```
(5:520)$ dmesg -l err
[1131424.604352] usb 1-1.1: 2:1: cannot get freq at ep 0x1
[1131424.666013] usb 1-1.1: 1:1: cannot get freq at ep 0x81
[1131424.749378] usb 1-1.1: 1:1: cannot get freq at ep 0x81
```
------

* **/var/log/alternatives.log** — Вывод программы update-alternatives, в котором находятся символические ссылки на команды или библиотеки по умолчанию.

* **/var/log/anaconda.log** — Записи, зарегистрированные во время установки системы.

* **/var/log/audit** — Записи, созданные службой аудита auditd.

* **/var/log/boot.log** — Информация, которая пишется при загрузке операционной системы.

* **/var/log/cron*** — Отчет службы crond об исполняемых командах и сообщения от самих команд.

* **/var/log/cups** — Все, что связано с печатью и принтерами.

* **/var/log/faillog** — Неудачные попытки входа в систему. Очень 
полезно при проверке угроз в системе безопасности, хакерских атаках, попыток взлома методом перебора. Прочитать содержимое можно с помощью команды faillog.

* **var/log/kern.log** — Журнал содержит сообщения от ядра и предупреждения, которые могут быть полезны при устранении ошибок пользовательских модулей встроенных в ядро.

* **/var/log/maillog/** или **/var/log/mail.log** — Журнал почтового сервера, используемого на ОС.

* **/var/log/pm-powersave.log** — Сообщения службы экономии заряда батареи.

* **/var/log/samba/** — Логи файлового сервера Samba, который используется для доступа к общим папкам Windows и предоставления доступа пользователям Windows к общим папкам Linux.

* **/var/log/spooler** — Для представителей старой школы, содержит сообщения USENET. Чаще всего бывает пустым и заброшенным.

* **/var/log/Xorg.0.log** — Логи X сервера. Чаще всего бесполезны, но если в них есть строки начинающиеся с EE, то следует обратить на них внимание.

### Журнал менеджера пакетов

Для каждого дистрибутива будет отдельный журнал менеджера пакетов.

* **/var/log/yum.log** — Для программ установленных с помощью Yum в RedHat Linux.

* **/var/log/emerge.log** — Для ebuild-ов установленных из Portage с помощью emerge в Gentoo Linux.

* **/var/log/dpkg.log** — Для программ установленных с помощью dpkg в Debian Linux и всем семействе родственных дистрибутивах.


### Бинарные журналы учета пользовательских сессий.

* **/var/log/lastlog** — Последняя сессия пользователей. Прочитать можно командой last.

* **/var/log/tallylog** — Аудит неудачных попыток входа в систему. Вывод на экран с помощью утилиты pam_tally2.

* **/var/log/btmp** — Еже один журнал записи неудачных попыток входа в систему. Просто так, на всякий случай, если вы еще не догадались где следует искать следы активности взломщиков.

* **/var/log/utmp** — Список входов пользователей в систему на данный момент.

* **/var/log/wtmp** — Еще один журнал записи входа пользователей в систему. Вывод на экран командой utmpdump.

------
```
(5:535)$ sudo utmpdump /var/log/wtmp
[5] [02187] [l0  ] [        ] [4.0.5-gentoo     ] [0.0.0.0     ] [Вт авг 11 16:50:07 2015]
[1] [00000] [~~  ] [shutdown] [4.0.5-gentoo     ] [0.0.0.0     ] [Вт авг 11 16:50:08 2015]
[2] [00000] [~~  ] [reboot  ] [3.18.12-gentoo   ] [0.0.0.0     ] [Вт авг 11 16:50:57 2015]
[8] [00368] [rc  ] [        ] [3.18.12-gentoo   ] [0.0.0.0     ] [Вт авг 11 16:50:57 2015]
[1] [20019] [~~  ] [runlevel] [3.18.12-gentoo   ] [0.0.0.0     ] [Вт авг 11 16:50:57 2015]
```
------

### Другие журналы

Также скорее всего на сервере или рабочей станции будет крутится база данных, веб сервер, разнообразные приложения. Каждое приложения или служба может иметь свой собственный файл или каталог журналов событий и ошибок.
Например некоторые из таковых:

* **/var/log/mysql/** — Лог базы данных MySQL.

* **/var/log/httpd/** или **/var/log/apache2/** — Лог веб сервера Apache, журнал доступа находится в access_log, а ошибки — в error_log.

* **/var/log/lighthttpd/** — Лог веб сервера lighttpd.

Так же в домашнем каталоге пользователя могут находится журналы графических приложений, DE.

* **~/.xsession-errors** — Вывод stderr графических приложений X11.

## Просмотр логов в Linux

Чтобы посмотреть логи на Linux можно использовать несколько утилит командной строки Linux. Также это может быть сделано с помощью любого текстового редактора, или специальной утилиты.

При этом для того, чтобы посмотреть логи в Linux, вам скорее всего  понадобятся права суперпользователя.

Команды, которые чаще всего используются для этих целей:

  * less;
  * more;
  * cat;
  * head;
  * grep;
  * tail;
  * zcat;
  * zgrep;
  * zmore;


Несколько примеров как можно просмотреть логи в Linux:

Смотрим лог /var/log/dmesg, с возможностью прокрутки:
```
 less /var/log/dmesg
```
Просмотр логов Linux, в реальном времени:
```
 tail -f /var/log/dmesg
```
Открываем лог файл dmesg:
```
 cat /var/log/dmesg
```
Первые строки dmesg:
```
 head /var/log/dmesg
```
Выводим только ошибки из /var/log/messages:
```
 grep -i error /var/log/messages
```
## Просмотр логов с помощью утилиты jornalctl

С приходом системы инициализации **systemd** большинство функций касающихся управления сервисами перешли под её управление. В том числе и управление логами.

Теперь для просмотра логов определенного сервиса или загрузки системы необходимо использовать утилиту **[[journalctl|journalctl]]**