systemd 的 journalctl 用法

Systemd 一句话原理

开机后第一个进程（PID 1），把一切资源抽象成 unit（.service .mount *.device …），按依赖并发启动；自带日志守护进程 systemd-journald，日志集中存 /run/log/journal（或 /var/log/journal）。

journalctl 20 条常用命令

目的	命令
全部日志	journalctl
实时 tail	journalctl -f
最近 N 条	journalctl -n N
时间倒序	journalctl -r
只看今天	journalctl --since today
昨天 08:00 到 09:00	journalctl --since "yesterday 08:00" --until "yesterday 09:00"
仅内核日志	journalctl -k
仅错误级别	journalctl -p err
某服务	journalctl -u nginx
服务实时	journalctl -u nginx -f
上一次启动	journalctl -b -1
指定启动	journalctl -b $BOOT_ID
列出所有启动	journalctl --list-boots
某 PID	journalctl _PID=1234
某 UID	journalctl _UID=1000
某主机	journalctl _HOSTNAME=web01
UTC 时间	journalctl --utc
带解释文本	journalctl -x
日志占盘	journalctl --disk-usage
清空（删旧日志）	journalctl --vacuum-time=30d

---

取服务名

systemctl list-units --type=service --state=running   # 仅运行
systemctl list-unit-files --type=service              # 全部

---

组合示例

场景	命令
nginx 上次开机期间的错误	journalctl -b -1 -u nginx -p err
今天 MySQL 所有警告及以上	journalctl --since today -u mysqld -p warning
实时跟踪 kubelet 并显示解释	journalctl -u kubelet -f -x
查看 08:00–08:30 内核崩溃	journalctl -k --since 08:00 --until 08:30 -b

---

快速排障 3 步法

1. systemctl status <服务> → 看是否 running、最后一次退出码。
2. journalctl -u <服务> -b -p err → 快速定位错误行。
3. journalctl -xe → 查看最近一次服务启动的完整上下文。

复制→粘贴→完事。