系统日志

系统日志，是操作系统与守护进程写下的记录，涵盖服务启动与退出、认证结果、内核事件、磁盘与内存告警。在 systemd 系统上它由 journald 收集，用 journalctl 按单元、时间、优先级查询^[1]；传统路线则是 /var/log，下面按服务分文件存放 syslog 家族^[2]。

站长会用到的四类查询

按服务与时间取段。看某次发布之后 Nginx 或数据库单元做了什么^[1]。

按优先级过滤。只关注 error 及以上，避免被例行信息淹没。

认证记录。异常登录与失败次数，是判断机器被人试过的最直接线索^[2]。

磁盘与内存事件。文件系统只读、OOM 终止进程这类记录，能解释页面为什么突然 502^[1]。

与站点故障的对应关系

页面返回 502 时先看上游是否还在：进程被 OOM 杀掉、单元反复重启，系统日志里都有痕迹，比先改应用配置快。

抓取量突增时看连接数与文件句柄是否触顶，触顶后新请求直接被拒，抓取端表现为网络错误，Google 会因此降速^[3]。

磁盘写满的表现常常是"哪儿都慢"，而数据库与面板任务会先失败^[2]。

保留与外发

系统日志要留够回溯窗口，也要设上限，否则自身就成了占盘的元凶^[1]。多机环境建议集中收集，至少保证时间戳与时区一致，跨机对表时才能排顺序。

常见误用

第一种是只查应用日志不查系统层，故障定位绕远。第二种是服务器时间不同步，日志排序失去意义。第三种是把日志目录暴露在 Web 可访问路径下^[2]。

附录

参见

• 日志与排查
• 访问日志
• 错误日志
• 日志轮转
• 性能监控
• 安全加固

参考资料

官方（境外）

1. 《systemd-journald 与 journalctl 文档》，freedesktop。
2. 《rsyslog 文档》，RSSI。
3. 《Google 搜索中的 HTTP 与网络错误》，Google 搜索中心。

外部链接

• logrotate，logrotate 维护组。