Busindre

This page is read only. You can view the source, but not change it. Ask your administrator if you think this is wrong.
===== Consulta básica de logs del sistema con journalctl en sistemas Systemd =====

La fecha de los logs es en base a la hora local configurada, para poder consultar la hora configurada, zona y otras opciones se puede ejecutar el comando timedatectl.

<code bash>timedatectl status
# timedatectl list-timezones     # Listas las zonas horarios disponibles.
# timedatectl set-timezone zone  # Permite fijar una zona horario en concreto.
</code>

Depende de la distribución en uso, es posible que no se guarden en disco los logs de systemd. Si se quieren tener los logs disponibles tras un reinicio simplemente se debe crear el directorio /var/log/journal y configurar en journald.conf el tamaño del log máximo deseado.
<code bash>mkdir /var/log/journal
echo "SystemMaxUse=25M" >> /etc/systemd/journald.conf
systemctl restart systemd-journald </code>

**Usos horarios disponibles / uso horario en uso / fijar un nuevo uso horario para los logs.**
<code bash>timedatectl list-timezones
timedatectl status
timedatectl set-timezone Europe/Berlin</code>

**Acceder a todos los registros del sistema** (similar al anterior cat /var/log/messages). Para salir "q".
<code bash>journalctl</code>

**Mostrar logs en UTC**
<code bash>journalctl --utc</code>

**Equivalencias con Syslog a la hora de consultar logs en systemd con journalctl**. ([[http://en.wikipedia.org/wiki/Syslog#Facility_levels | Facility_levels]])
<code bash>journalctl -l SYSLOG_FACILITY=10 # Equivaldría a auth.log
# Qué usuarios y cuando han ejecutado el comando "su" desde ayer. 
journalctl --since 'yesterday' -l SYSLOG_FACILITY=4 | grep -i su
abr 25 03:46:42 cacotaspc su[9027]: (to root) busi on pts/1
abr 25 17:50:44 cacotaspc su[788]: (to root) espinete on pts/0
abr 26 00:49:23 cacotaspc su[22878]: (to root) onemi on pts/1

</code>

**Mostrar mensajes de log en tiempo real**.
<code bash>journalctl -f</code>

**Ver la lista de todos los arranques del sistema de forma ordenada**.
<code bash>journalctl --list-boots</code>

**Mostrar los logs del boot actual o de una fecha concreta (También por ID)**.
<code bash>journalctl -b
journalctl -b 231
journalctl _BOOT_ID=6f943d5a532043469fdbd19f5f81b6ae</code>

**Ver los mensajes del kernel**.
<code bash>journalctl -k
# Ver los mensajes del kernel de hoy.	
journalctl -k -b</code>

**Filtrar por identificador syslog**

Hay logs de journal que no están accesibles a través de unidades, como por ejemplo el kernel o aplicaciones como su/sudo, login, mount, etc. En al salida de journal, el tercer campo suele referirse al identificador syslog del servicio y puede filtrarse usando "-t"
<code bash>journal -t kernel</code>

NOTA: En algunos casos las unidades tienen también un identificador syslog, y por lo tanto se puede usar "-t" para mostrarlos. Aunque estos suelen encontrarse también al visualizar los logs filtrando por unidad von "-u". El identificador syslog puede ser definido mediante la opción "SyslogIdentifier" en ficheros service.

**Filtrar por número de entradas en el registro de logs**. (10 mensajes si no se especifica una cifra).
<code bash>journalctl -n</code>

**Filtras los logs por ejecutables / programas / usuario**.
<code bash># Indicando el nombre	
journalctl _COMM=NetworkManager
# Especificando la ruta
journalctl /usr/sbin/NetworkManager
# Utilizando grep
journalctl | grep NetworkManager</code>

Mostrar el Log de un determinado programa en ejecución mediante el PID.
<code bash>journalctl _PID=307</code>

Mostrar logs por usuario.
<code bash>journalctl _UID=100</code>

Conocer más journal fields para usar como filtro.
<code bash>man systemd.journal-fields</code>

**Filtrar la salida por servicios de systemd**.
<code bash># Para ver todos los servicios de Systemd: systemctl list-units -t service --all
# Especificar un servicio systemd en concreto.
journalctl -u dbus.service
# Buscar varios servicios  añadiendo el caracter “+” (equivale a un “or”).
journalctl _SYSTEMD_UNIT=apparmor.service + _SYSTEMD_UNIT=dbus.service
</code>


**Filtrar por fechas**.

Se utilizan los parámetros "%%--%%since" y "%%--%%until", así como expresiones tipo "yesterday", "ago" o "today".
El formato de tiempo es habitualmente YYYY-MM-DD HH:MM:SS.

<code bash># Ver los logs desde el día de ayer hasta hoy a las 02:00 horas.
journalctl --since 'yesterday' --until '02:00'

# Mostrar nuevos logs desde ahora y durante 10 segundos.
journalctl -f --until +10 

# Especificar un intervalo de fechas.	
journalctl --since='2015-02-29 00:01' --until='2015-03-29 00:01'

# Todos los logs especificando la fecha en el formato que os comentaba anteriormente, y filtrando por el programa firefox
journalctl _COMM=firefox --since='2015-02-29 00:01' --until='2015-03-29 00:01'

# Lo mismo que el caso anterior pero en este caso filtrando por el servicio de sshd.service
journalctl -u sshd.service --since='2015-02-29 00:01' --until='2015-03-29 00:01'

# Ver lo que ha pasado en la última media hora:
journalctl --since '30 min ago'</code>

**Filtrar por la prioridad del mensaje.**
<code bash>journalctl -p 2
# Filtrando únicamente problemas en el kernel.
journalctl -t kernel -p 4
</code>

Los mensajes se clasifican en función de su prioridad en 7 niveles diferentes. 
  * emerg   (0)
  * alert   (1)
  * crit    (2)
  * err     (3)
  * warning (4)
  * notice  (5)
  * info    (6)
  * debug   (7)

NOTA: Estas opciones son muy útiles a la hora de filtrar logs del kernel con problemas, de no especificar ninguna el nivel 7 (debug) es el estándar (contiene todos los niveles, el 0 al 7). Por ejemplo el nivel 4 mostrará los logs "emerg", "alert", "crit" y "error".

**Mensajes de los discos duros u otros dispositivos de bloque**. (Útil a la hora de buscar problemas.)
<code bash>journalctl /dev/sdX</code>

**Consultar el espacio que están ocupando los diferentes logs**.
<code bash># Configurable en /etc/systemd/journald.conf con "SystemMaxUse=50M" (Por defecto usa el 10% del sistema de ficheros como máximo).
journalctl --disk-usage</code>

Reduce el tamaño de logs a 1Gbyte eliminando para ello los registros más antiguos.
<code bash>journalctl --vacuum-size=1G</code>

Guardará únicamente los logs desde el último año.
<code bash>journalctl --vacuum-time=1years</code>

**Formatos de salida para los logs con systemd**

  * cat: Solo muestra el mensaje no la fecha / hora.
  * export: Formato binario para transferirlo a otro lugar o con finalidad de Backup.
  * json: Formato JSON en una linea.
  * json-pretty: Formato JSON tabulado.
  * json-sse: Formato JSON-SSE (server-sent event compatible).
  * short: Salida estilo syslog.
  * short-iso: Salida según el estándar ISO 8601 wallclock timestamps.
  * short-monotonic: El formato predeterminado con marcas de tiempo monótonas.
  * short-precise: El formato predeterminado pero especificando microsegundos.
  * verbose: Muestra todos los campos disponibles de journalctl, incluidas las que normalmente se ocultan.

<code bash>journalctl -b -u httpd2 -o json-pretty</code>

===== Enviar logs a journalctl (Systemd) =====

Escribiendo en los logs de systemd de manera nativa con C y Python.
<code c>#include <systemd/sd-journal.h>

int main(int argc, char *argv[]) {
        sd_journal_print(LOG_NOTICE, "Hola Mundo!");
        return 0;
}</code>

Ejemplo de código python escribiendo logs para journalctl.
<code python>from systemd import journal
journal.send('Hola Mundo!')</code>

**Bindings para usar login con journalctl**.

  * Node.js: [[http://fourkitchens.com/blog/2012/09/25/nodejs-extension-systemd]]
  * PHP: [[https://github.com/systemd/php-systemd]]
  * LUA: [[https://github.com/philips/luvit-systemd-journal]]

Si se tiene algún servicio configurado en systemd que utilice la función "printf()", las cadenas escritas también pasarán directamente al registro journalctl automáticamente.
<code c>#include <stdio.h>

int main(int argc, char *argv[]) {
        printf("Hola Mundo!\n");
        return 0;
}</code>

Desde systemd 216 en Agosto del 2014 y de manera predeterminada, journalctl trae una opción "Forward" activada que intercepta automáticamente los logs de syslog / rsyslog / syslog-ng / etc. 

Ejemplo enviando en código C un mensaje a Syslog.
<code c>#include <syslog.h>

int main(int argc, char *argv[]) {
        syslog(LOG_NOTICE, "Hola Mundo!");
        return 0;
}</code>

Para registrar logs de aplicaciones sin soporte journalctl nativo, se puede intentar que envíen logs por la salida estándar, que utilicen syslog o bien systemd-cat (uso de scripts mayormente).

**Escribiendo en los logs de journalctl con systemd-cat**.

<code>echo 'XXX' | systemd-cat
echo 'XXX' | systemd-cat -p info
echo 'XXX' | systemd-cat -p warning
echo 'XXX' | systemd-cat -p emerg</code>

**Configurar logs error y access de Nginx en journalctl**.
<code>server {
    # error_log stderr; # También funcionaría. Pero access_log no soporta stderr.
    error_log syslog:server=unix:/dev/log;
    access_log syslog:server=unix:/dev/log;
    ...
}
</code>

**Arrancar / Recargar / Parar / Reiniciar servicios con systemd y conocer el resultado de la operación**

A diferencia de los antiguos sistemas SysV, cuando se trabaja con systemd, al realizar acciones sobre servicios a través de systemctl no se obtiene ninguna salida si el comando fue exitoso. En los casos en que se quiera obtener algo de información, se puede hacer uso de una tubería con el comando "journalctl". Veamos un ejemplo al recargar la configuración de SSHD.

<code bash>systemctl stop sshd && journalctl -fxu sshd

Jan 19 22:09:34 proxy sshd[110]: Received SIGHUP; restarting.
Jan 19 22:09:34 proxy sshd[110]: Set /proc/self/oom_score_adj to 0
Jan 19 22:09:34 proxy sshd[110]: Set /proc/self/oom_score_adj from 0 to -1000
Jan 19 22:09:34 proxy sshd[110]: Server listening on 0.0.0.0 port 22.
Jan 19 22:09:34 proxy sshd[110]: Server listening on :: port 22.
Jan 19 22:09:34 proxy systemd[1]: Reloaded OpenSSH server daemon.
-- Subject: Unit sshd.service has finished reloading its configuration
-- Defined-By: systemd
-- Support: http://lists.freedesktop.org/mailman/listinfo/systemd-devel
-- 
-- Unit sshd.service has finished reloading its configuration
-- 
-- The result is done.
</code>

**Enlaces de interés**: [[http://0pointer.de/blog/projects/journal-submit.html]]