ubuntu syslog怎样监控

在 Ubuntu 上，syslog 通常由 rsyslog（或 systemd-journald）负责。下面从查看、实时监控、过滤、告警、集中管理几个层面说明如何“监控”syslog。

一、实时查看 syslog（最常用）

1. 传统 syslog 文件

Ubuntu 的 syslog 一般在：

/var/log/syslog

实时监控：

tail -f /var/log/syslog

只看某服务：

tail -f /var/log/syslog | grep sshd

2. 使用 journalctl（推荐，systemd 系统）

Ubuntu 16.04+ 默认使用 systemd：

journalctl -f

按服务：

journalctl -u ssh -f

按优先级（如错误）：

journalctl -p err -f

按时间：

journalctl --since "10 min ago"

二、按条件监控（过滤重要日志）

示例 1：监控错误和警告

journalctl -p warning -f

示例 2：监控某 IP 的登录

tail -f /var/log/auth.log | grep "192.168.1.100"

示例 3：监控 sudo 使用

journalctl -f | grep sudo

三、文件变化监控（inotify）

适合脚本或程序：

sudo apt install inotify-tools
inotifywait -m /var/log/syslog

四、自动告警（日志触发）

示例：出现错误发邮件

tail -f /var/log/syslog | while read line; do
  echo "$line" | grep -q "error" && echo "$line" | mail -s "Syslog Error" admin@xxx.com
done

五、集中式监控（生产环境）

方案 1：rsyslog 远程转发

*.* @logserver:514

方案 2：ELK / Graylog / Loki

• Filebeat → Elasticsearch
• Promtail → Loki → Grafana

六、常用排查命令汇总

# 查看系统启动日志
journalctl -b

# 查看内核日志
dmesg -T

# 查看登录失败
grep "Failed password" /var/log/auth.log

如果你能说明：

• 是桌面还是服务器
• 想监控哪种日志（安全 / 应用 / 系统）
• 是否需要告警或图形界面

我可以给你更精确的监控方案。