Debian日志如何分析

在 Debian 系统中，日志分析是排查系统问题、服务异常、安全事件的重要手段。下面从日志位置、常用工具、分析方法、实战示例几个方面系统讲解。

一、Debian 日志文件位置

1. 传统日志（rsyslog / syslog）

Debian 默认使用 rsyslog 或 syslog 记录系统日志，主要位于：

日志文件	说明
`/var/log/syslog`	系统核心日志（最常用）
`/var/log/messages`	部分系统消息
`/var/log/auth.log`	认证 / SSH / sudo 日志
`/var/log/kern.log`	内核日志
`/var/log/dpkg.log`	软件包安装 / 卸载
`/var/log/apt/`	apt 操作日志
`/var/log/cron.log`	定时任务日志

如果某些日志不存在，可能是 rsyslog 未启用或配置不同。

二、systemd 日志（journalctl）

Debian 10+ 基本都使用 systemd，日志由 journald 管理。

1. 查看全部日志

journalctl

2. 按时间查看

journalctl --since "2025-01-01 08:00" --until "2025-01-01 10:00"

3. 查看某服务日志

journalctl -u nginx
journalctl -u ssh

4. 实时查看

journalctl -f

5. 查看本次启动日志

journalctl -b

三、常用日志分析命令

1. 查看日志

less /var/log/syslog
tail -f /var/log/syslog

2. 过滤关键字

grep -i error /var/log/syslog
grep -i fail /var/log/auth.log

3. 统计出现次数

grep sshd /var/log/auth.log | wc -l

四、常见日志分析场景

1. 分析 SSH 登录异常（暴力破解）

grep "Failed password" /var/log/auth.log

查看来源 IP：

grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr

2. 查看 sudo 使用记录

grep sudo /var/log/auth.log

3. 查看系统启动错误

journalctl -p err -b

4. 查看某个服务为什么启动失败

systemctl status nginx
journalctl -u nginx --no-pager

5. 查看磁盘 / 文件系统错误

dmesg | grep -i error
journalctl -k | grep -i error

五、日志轮转（logrotate）

Debian 自动轮转日志，防止磁盘占满。

查看配置：

cat /etc/logrotate.conf
ls /etc/logrotate.d/

常见行为：

日志按天 / 周 / 月切割
自动压缩
自动删除旧日志

六、推荐分析工具

1. 基础工具

grep
awk
sed
less
tail -f

2. 高级工具

工具	用途
`lnav`	交互式日志查看
`multitail`	多日志同时查看
`goaccess`	Web 访问日志分析
`rsyslog`	日志转发
`ELK`	大规模日志分析

安装示例：

apt install lnav

七、实战示例：快速定位问题

示例：服务器突然无法访问

# 查看系统整体错误
journalctl -p err -b

# 查看网络服务
systemctl status networking

# 查看 SSH
journalctl -u ssh

# 查看内核
dmesg | tail

八、实用建议

✅ 查日志顺序：

journalctl -p err
/var/log/syslog
服务专属日志
内核日志 dmesg

✅ 生产环境建议：

开启 SSH 登录告警
定期清理旧日志
重要日志远程备份

如果你愿意，我可以：

✅ 针对 某个具体服务（如 Nginx / MySQL / Docker）讲日志分析
✅ 教你 写日志分析脚本
✅ 帮你 解读一段真实日志

直接把日志贴出来即可。