如何监控linux实时日志

在 Linux 中监控实时日志（持续增长、不断写入的日志）有多种常用方法，下面按使用频率和场景给你总结。

一、最常用：tail -f（实时跟踪日志）

基本用法

tail -f /var/log/messages

• -f：follow，实时输出新增内容
• 适合：查看单个日志文件

从末尾 N 行开始看

tail -n 100 -f /var/log/nginx/access.log

多个文件同时监控

tail -f /var/log/nginx/access.log /var/log/nginx/error.log

二、tailf（简化版）

tailf /var/log/syslog

• 和 tail -f 类似
• 某些系统已不推荐（逐步被 tail -F 替代）

三、更健壮：tail -F（文件可能被重命名/轮转）

tail -F /var/log/nginx/access.log

✅ 适合 logrotate 场景（日志被切割后仍能跟踪）

四、系统日志：journalctl（systemd 系统）

实时查看系统日志

journalctl -f

查看某个服务的日志

journalctl -u nginx -f

指定时间范围

journalctl -u docker --since "10 min ago"

五、关键字过滤（非常重要）

实时监控 + 过滤 ERROR

tail -f /var/log/app.log | grep ERROR

高亮显示

tail -f app.log | grep --color=auto ERROR

忽略大小写

tail -f app.log | grep -i error

六、多文件 + 合并监控（运维常用）

监控整个目录

multitail /var/log/nginx/*.log

需要安装：yum install multitail 或 apt install multitail

七、高级工具（可选）

1️⃣ less +F

less +F /var/log/messages

• 按 Ctrl+C 暂停
• 按 F 继续跟踪

2️⃣ lnav（日志分析神器）

lnav /var/log/

• 自动识别日志格式
• 支持搜索、过滤、时间轴

八、常见日志路径参考

九、实战示例（最常见）

tail -F /var/log/nginx/error.log | grep -i "timeout"

journalctl -u nginx -f | grep 500

如果你愿意，可以告诉我：

• ✅ 你监控的是 什么日志（Nginx / 应用 / 系统）
• ✅ 是否使用 Docker / K8s
• ✅ 想要 简单看 还是 长期监控

我可以给你更精准的方案。