Debian syslog怎么分析

在 Debian 系统中，syslog（系统日志）通常由 rsyslog 或 systemd-journald 负责。下面从日志位置、常用工具、分析思路、实战示例几个方面系统讲解如何分析 Debian 的 syslog。

一、Debian 中 syslog 的位置

1️⃣ 传统 syslog（rsyslog）

如果使用 rsyslog（最常见）：

/var/log/syslog        # 综合系统日志（最常用）
/var/log/messages      # 部分系统可能没有
/var/log/auth.log      # 认证相关（SSH、sudo、登录）
/var/log/kern.log       # 内核日志
/var/log/cron.log       # 定时任务

查看是否使用 rsyslog：

dpkg -l | grep rsyslog

2️⃣ systemd 日志（journalctl）

Debian 10+ 默认使用 systemd：

journalctl

日志存储在：

/var/log/journal/

二、基础查看方法

1️⃣ 查看实时日志

tail -f /var/log/syslog

或：

journalctl -f

2️⃣ 查看最近 N 行

tail -n 100 /var/log/syslog

3️⃣ 按时间查看

journalctl --since "2025-01-01 08:00:00" --until "2025-01-01 10:00:00"

三、按服务 / 来源分析

1️⃣ 查看某个服务的日志（systemd）

journalctl -u nginx
journalctl -u ssh
journalctl -u docker

2️⃣ 查看某个程序的日志（rsyslog）

grep nginx /var/log/syslog

3️⃣ 查看某台主机的日志

grep "192.168.1.10" /var/log/syslog

四、常见分析场景

✅ 1. SSH 登录分析（安全）

grep "sshd" /var/log/auth.log

常见关键词：

• Failed password
• Accepted password
• Invalid user

查看暴力破解：

grep "Failed password" /var/log/auth.log | wc -l

✅ 2. 系统启动问题

journalctl -b       # 本次启动
journalctl -b -1    # 上一次启动

查看启动失败服务：

systemctl --failed

✅ 3. 内核 / 硬件错误

dmesg | less
grep -i error /var/log/kern.log

✅ 4. 磁盘 / IO 问题

journalctl | grep -i "I/O error"

✅ 5. 网络问题

grep -i network /var/log/syslog

五、高级分析技巧

1️⃣ 统计错误数量

grep -c "error" /var/log/syslog

2️⃣ 按时间段过滤

awk '/Jan 20 10:/ {print}' /var/log/syslog

3️⃣ 多日志联合分析

grep "nginx" /var/log/syslog /var/log/auth.log

4️⃣ 导出日志

journalctl -u ssh > ssh.log

六、日志轮转（防止爆盘）

Debian 默认使用 logrotate：

/etc/logrotate.d/rsyslog

查看配置：

cat /etc/logrotate.d/rsyslog

七、推荐分析工具

安装 lnav：

apt install lnav
lnav /var/log/syslog

八、排查思路总结

“时间 → 服务 → 关键词 → 关联日志”

1. 确定问题发生时间
2. 定位相关服务
3. 搜索 error / fail / timeout / denied
4. 结合 auth.log / kern.log / journalctl

如果你愿意，可以：

• ✅ 贴一段 syslog 日志
• ✅ 说明是 启动失败 / SSH / 网络 / 服务崩溃
• ✅ 或说明 Debian 版本（cat /etc/debian_version）

我可以帮你逐行分析日志。