Allgemeine Systemprotokolle verbinden routinemäßige Hinweise, Warnungen und Fehler aus mehreren Quellen. Sie sind nützliche Ausgangspunkte, doch ihre Dateinamen und Inhalte sind Entscheidungen der Weiterleitungsrichtlinie und keine allgemeingültigen Linux-Garantien.
Protokollierung · Lektion 3
Allgemeine Protokollierung
Lerne, allgemeine Linux-Systemprotokolle zu ermitteln, zu filtern, zu verfolgen und miteinander zu verknüpfen.
Die relevante Quelle finden
Abhängig von Distribution und Konfiguration können allgemeine Nachrichten in /var/log/syslog, /var/log/messages, im systemd-Journal oder an mehreren Zielen erscheinen. Ermittle zuerst Host und Zeitraum des Vorfalls und untersuche anschließend die verfügbaren Quellen:
$ ls -lh /var/log
$ journalctl --since '2026-08-31 09:00' --until '2026-08-31 09:15'
Anwendungsprotokolle können in eigenen Unterverzeichnissen oder einem externen Dienst liegen. Datensätze zu Authentifizierung, Audit, Paketen, Datenbanken und Webservern können absichtlich vom allgemeinen Strom getrennt sein.
Warum solltest du nicht annehmen, dass /var/log/messages auf jedem Linux-Host vorhanden ist?
Textprotokolle untersuchen
Verwende less zur kontrollierten Navigation und tail für die neuesten Datensätze:
$ sudo less /var/log/syslog
$ sudo tail -n 100 /var/log/messages
Verfolge während einer begrenzten Reproduktion neu angehängte Zeilen mit tail -F FILE. -F versucht den Zugriff erneut, wenn eine Datei bei der Rotation ersetzt wird, anders als eine einfache Momentaufnahme. Beende die Verfolgung mit Ctrl-C und lasse keine weitreichenden privilegierten Sitzungen offen.
Wofür ist tail -F während einer kontrollierten Reproduktion nützlich?
Filtern, ohne den Zusammenhang zu verlieren
Durchsuche eine begrenzte Datei oder ein Journalintervall, statt sofort einen unbegrenzten Live-Strom durch eine Pipeline zu leiten:
$ grep -n -C 3 'connection refused' /var/log/example.log
$ journalctl -u example.service --since '10 minutes ago' --grep='connection refused'
Groß-/Kleinschreibung, Formulierung, Ratenbegrenzungen und Lokalisierung können eine wörtliche Suche unvollständig machen. Erfasse sowohl erfolgreiche als auch fehlgeschlagene Ereignisse und bewahre umgebende Zeilen, weil die Ursache dem sichtbaren Fehler vorausgehen kann.
Warum solltest du Zeilen um einen passenden Fehler herum einbeziehen?
Rotierte und archivierte Protokolle einbeziehen
Ein Vorfall kann eine Rotationsgrenze überschreiten. Aktive Dateien, nummerierte Archive und komprimierte Dateien können unterschiedliche Teile derselben Abfolge enthalten. Werkzeuge wie zgrep und zless lesen gzip-komprimierte Archive:
$ sudo zgrep -n 'connection refused' /var/log/example.log*.gz
Ordne Ergebnisse nach den tatsächlichen Zeitstempeln und nicht nur nach der Endung. Bewahre vor dem Kopieren von Belegen Metadaten und beschränke den Zugriff, weil Protokolle personenbezogene Daten oder Anmeldedaten enthalten können.
Was solltest du prüfen, wenn ein Vorfall eine Protokollrotation überschreitet?
Lektion abgeschlossen
Sie haben Allgemeine Protokollierung abgeschlossen
Du kannst allgemeine Protokolle nun über Dateien, Journale und Rotationsgrenzen hinweg untersuchen.
Ermittle Ziele, statt einen allgemeingültigen Dateinamen anzunehmen.
Lies ein begrenztes Intervall und verfolge nur während der Reproduktion.
Bewahre den zeitlichen Zusammenhang um passende Datensätze.
Beziehe rotierte Archive ein und schütze vertrauliche Belege.
Lernfortschritt speichern
Erstellen Sie ein kostenloses Konto, um diese Lektion zu speichern und auf jedem Gerät weiterzulernen.
Kostenloses Konto erstellen