标签: systemd-journald

我不明白为什么/var/log/journal/文件夹这么大。

例如，通过执行命令systemctl -f，我看到了填充。如果我在 Thunderbird 上点击一封电子邮件，它会生成几十行我认为无用的行。

目前，我du -h /var/log/journal/在 1 天内生成了超过 1.5GB ( )！

有没有一种方法可以在不停止日志记录的情况下显着减少此日志？

当我发出时，journalctl我会得到所有系统服务的大量日志，但所有这些信息都存储在哪里？

我journalctl保存了超过 300 MB 的日志，如journalctl --disk-usage. 当我运行时，一切似乎都井然有序journalctl --verify：

$ journalctl --disk-usage
Archived and active journals take up 328.0M on disk.

$ journalctl --verify
PASS: /var/log/journal/d7b25a27fe064cadb75a2f2f6ca7764e/system.journal    
PASS: /var/log/journal/d7b25a27fe064cadb75a2f2f6ca7764e/user-65534.journal
PASS: /var/log/journal/d7b25a27fe064cadb75a2f2f6ca7764e/system@02f1aae76e32467390ab88ba03ae559e-0000000000000001-00056515dbdcd67e.journal
PASS: /var/log/journal/d7b25a27fe064cadb75a2f2f6ca7764e/user-1000.journal 
PASS: /var/log/journal/d7b25a27fe064cadb75a2f2f6ca7764e/user-65534@9838f64d6ee047bebec9d30d329064d4-00000000000005bb-00056515dbfe8d9d.journal

我注意到当我grep从journalctl.

我怎样才能明智地减少我所保留的东西的大小journalctl？

原始 .GIF 图像

我最近从 Kubuntu 17.10 切换到 Kubuntu 18.04（全新安装）。问题是该进程systemd-udevd不断运行并消耗 90-100% 的 CPU 负载。在修补了所有设备后，我发现这是因为 WiFi！一旦我打开 WiFi 进程开始运行，CPU 负载上升到 100%。但是每当我关闭 WiFi 时，它就会降为零！这是打开topWiFi 时的结果：

  PID USER      PR  NI    VIRT    RES    SHR S  %CPU %MEM     TIME+ COMMAND                                                           
  338 root      20   0   94336  51744   3120 S  44.7  0.6   0:35.50 systemd-udevd                                                     
  24957 root    20   0   67936  25248   2860 R  40.4  0.3   0:23.85 systemd-udevd                                                     
  328 root      19  -1  150720  53068  52264 S   4.3  0.7   0:07.61 systemd-journal

并运行：strace -p 338重复执行以下输出：

strace: Process 338 attached
strace: …

我的问题是，如何从以前的系统启动尝试中找到启动日志？

今天第一次打开我的电脑时，启动过程在 Ubuntu 标志上停止，当我按下时，Esc我看到几行包含一些内核错误并在底部需要重新启动，所以我按下了Ctrl+ ALt+ Del，下次启动没有问题。

在第一次启动失败时，我无法从屏幕上找到消息。我应该给我的手机拍照吗？

/var/log/boot那里是空的，我在kern.log和syslog 中搜索了我记得今天日期的字符串，error但没有发现我在以前的启动屏幕上看到的内容熟悉的内容。

$ journalctl -b -1 在启动期间只给我内核消息，我也可以在其他地方找到，并且它们不是启动期间出现在屏幕上的内容，journalctl 对我来说没用，我正在寻找启动期间出现在屏幕上的消息。

目前，唯一的选择是拍一张在纸上写下信息的照片。

18.04在新的 Lenovo x1c6 上全新安装 Ubuntu ，从挂起状态恢复后有时会收到此错误。

我不知道这是什么意思，在线搜索导致不存在的错误报告

可能是相关的：我的电池寿命是 4-5 小时，而其他 Ubuntu 用户报告这个联想有 10+ 小时。查看相关线程

该线程中的答案建议运行以下命令：

?  ~ journalctl
-- Logs begin at Fri 2018-05-18 13:10:19 CEST, end at Tue 2018-05-22 19:25:25 CEST. --
May 18 13:10:19 goldy-ThinkPad-X1-Carbon-6th kernel: Linux version 4.15.0-20-generic (buildd@lgw01-amd64-039) (gcc version 7.3.0 (Ubu
May 18 13:10:19 goldy-ThinkPad-X1-Carbon-6th kernel: Command line: BOOT_IMAGE=/boot/vmlinuz-4.15.0-20-generic root=UUID=2da2702a-fc2a
May 18 13:10:19 goldy-ThinkPad-X1-Carbon-6th kernel: KERNEL supported cpus:
May 18 13:10:19 goldy-ThinkPad-X1-Carbon-6th kernel:   Intel GenuineIntel
May 18 13:10:19 goldy-ThinkPad-X1-Carbon-6th kernel: …

我正在运行什么是 vanilla Ubuntu 16.04 服务器，并且我正在尝试了解默认情况下如何设置日志记录。我可以看到journald和rsyslog都已安装并正在运行，但我完全不清楚日志消息是如何处理的。

大多数消息似乎都出现在/var/log/syslog和 via 中journalctl，但我看不到任何显式配置在两者之间进行转发/etc/systemd/journald.conf（默认情况下基本上都已注释掉）/etc/rsyslog.conf或/etc/rsyslog.d/50-default.conf. 我试图寻找官方文档，甚至是一篇解释如何在 Ubuntu 中设置这两个的博客文章，但没有找到任何东西。

为了进一步增加我的困惑，我logger -p local1.info Test在主机上执行了，发现没有写入任何内容/var/log/syslog，而消息确实显示在journalctl.

我的问题是：

1. journald 和 rsyslog 在 Ubuntu 16.04（默认情况下）上究竟如何协同工作？
2. 为什么从logger表面上发送的消息最终会出现在日志中，而不会出现在系统日志中？

更新：结果logger没有按预期工作是我的一个错误，所以它与主要问题无关。

我想要达到的目标：

我想按日期过滤系统日志文件，即当我这样做时：

$ cat /var/log/syslog | grep -i "error\|warn\|kernel" 

它在最后三天打印这样的行让我们说：

(...)
Apr  3 06:17:38 computer_name kernel: [517239.805470] IPv6: ADDRCONF(NETDEV_CHANGE): wlp3s0: link becomes ready
(...)
Apr  4 19:34:21 computer_name kernel: [517242.523165] e1000e: enp0s25 NIC Link is Up 1000 Mbps Full Duplex, Flow Control: None
(...)
Apr  5 09:00:52 computer_name kernel: [517242.523217] IPv6: ADDRCONF(NETDEV_CHANGE): enp0s25: link becomes ready

如何 grep（选择或过滤）：

• 按日期？
• 按日期+小时？

我试过的：

$ cat /var/log/syslog | grep -i "Apr  5" | grep -i "error\|warn\|kernel" 

它在syslog文件上按预期工作，但不适用于kern.log文件，例如只返回：Binary file …

journalctl -p err -b例如，当您使用该命令时，您会得到一个以“END”结尾的答案。我用什么命令来结束这个并有机会输入下一个命令而不必关闭窗口并打开一个新窗口？

erik@server ~ $ journalctl -p err -b
-- Logs begin at sön 2019-09-22 20:17:42 CEST, end at sön 2019-09-22 20:20:01 CE
sep 22 20:17:51 server iscsid[1289]: iSCSI daemon with pid=1290 started!
lines 1-2/2 (END)

几天前，我在装有 Windows 10 的双启动华硕笔记本电脑上安装了 Ubuntu 17.04，此后不久，我注意到该systemd-journald过程一直在使用 25-35% 的 CPU。

我跟踪了这​​个过程并保存了部分输出在这里。

CPU似乎在循环，做一些与pci设备相关的事情。

有没有人对这个问题有任何建议？