Jurnal - journalctl bilan ishlash

Serverda nimadir buzilganda javob deyarli har doim jurnalda yotadi. Muammo - uni topish: kunlik jurnal minglab satrdan iborat, keraklisi esa uchtasi.

Ikki jurnal tizimi #

Zamonaviy Ubuntuda ikkalasi ham ishlaydi: journald yig'adi, rsyslog esa nusxasini matn fayllarga yozadi.

Asosiy filtrlar #

systemd-cat -t sr-jurnal -p info    echo "oddiy ish davom etmoqda"
systemd-cat -t sr-jurnal -p warning echo "disk 80 foiz to'ldi"
systemd-cat -t sr-jurnal -p err     echo "bazaga ulanib bo'lmadi"
sleep 1

journalctl -t sr-jurnal -n 3 --no-pager -o cat

oddiy ish davom etmoqda
disk 80 foiz to'ldi
bazaga ulanib bo'lmadi

Muhimlik darajalari #

journalctl -t sr-jurnal -p err -n 1 --no-pager -o cat

bazaga ulanib bo'lmadi

journalctl -t sr-jurnal -p warning -n 2 --no-pager -o cat

disk 80 foiz to'ldi
bazaga ulanib bo'lmadi

journalctl -p warning..warning

Xatoni topish yo'li #

Serverda muammo bo'lganda tartib shunday:

journalctl --since "-30min" --until "-20min" -p warning

Chiqish formatlari #

journalctl -t sr-jurnal -n 1 --no-pager -o json \
    | python3 -c 'import sys, json; d = json.load(sys.stdin); print(d["PRIORITY"], d["SYSLOG_IDENTIFIER"])'

3 sr-jurnal

Maydon bo'yicha to'g'ridan-to'g'ri filtrlash ham mumkin:

journalctl SYSLOG_IDENTIFIER=sr-jurnal -n 2 --no-pager -o cat

disk 80 foiz to'ldi
bazaga ulanib bo'lmadi

O'z xabaringizni yozish #

systemd-cat -t sr-mening -p warning echo "zaxira nusxa 20 daqiqa oldi"
sleep 1
journalctl -t sr-mening -n 1 --no-pager -o cat

zaxira nusxa 20 daqiqa oldi

#!/bin/bash
exec > >(systemd-cat -t zaxira -p info) 2>&1
echo "zaxira boshlandi"

journalctl -t zaxira --since today

Doimiy saqlash #

ls -d /var/log/journal && echo "jurnal doimiy saqlanmoqda"

/var/log/journal
jurnal doimiy saqlanmoqda

sudo mkdir -p /var/log/journal
sudo systemd-tmpfiles --create --prefix /var/log/journal
sudo systemctl restart systemd-journald

[Journal]
Storage=persistent

Hajmni cheklash #

journalctl --disk-usage 2>&1 | grep -c 'take up'

1

Jurnal diskni to'ldirishi mumkin - shuning uchun chegara qo'yiladi.

Qo'lda tozalash:

rsyslog fayllari #

Ba'zi ma'lumot hali ham matn fayllarda:

3-bo'limdagi grep, awk, sort | uniq -c iboralari aynan shu fayllar uchun kerak:

grep "Failed password" /var/log/auth.log \
    | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head

sudo logrotate -d /etc/logrotate.d/nginx

Xulosa #

• journald ikkilik va indekslangan - grep emas, journalctl kerak.
• Pastki chiziqli maydonlar yadrodan keladi - ularni soxtalashtirib bo'lmaydi.
• -p err "err va undan muhimroq" degani, faqat err emas.
• Xatoni qidirish: systemctl --failed → journalctl -p err -b → -u xizmat.
• --since odam tilida yoziladi: "-1h", today, "10 min ago".
• -o cat skript uchun, -o verbose tergov uchun.
• Skriptlaringiz systemd-cat orqali jurnalga yozsin.
• /var/log/journal bo'lmasa, jurnal qayta yuklashda yo'qoladi.
• journalctl -b -1 - yiqilish sababini topishning asosiy usuli.
• Jurnal to'lganda avval sababni toping, keyin --vacuum qiling.

Keyingi bo'limda diskni ko'ramiz: df, inode, fayl tizimlari va disk to'lganda nima qilish kerak.