Debian的回收日志如何查看

Debian查看已回收或历史日志

一 查看 systemd 日志的已轮转归档

• 查看当前日志占用与存储上限：
  • 占用空间：sudo journalctl --disk-usage
  • 配置上限：编辑 /etc/systemd/journald.conf，常用项如 SystemMaxUse=、MaxRetentionSec=；修改后执行 sudo systemctl daemon-reload && sudo systemctl restart systemd-journald
• 按时间查看归档：使用 --since/--until 指定范围，例如：
  • sudo journalctl --since "2026-01-01" --until "2026-01-03"
  • 查看更早历史：sudo journalctl --since "2025-12-01" --until "2025-12-31"
• 按服务查看归档：sudo journalctl -u nginx.service --since "2026-01-01"
• 提示：journald 的“回收/保留”由 journald.conf 控制；若需释放空间，可先查占用，再按时间或容量清理旧日志。

二 查看 rsyslog 传统日志的轮转归档

• 常见归档形态与路径：
  • 当前日志：/var/log/syslog、/var/log/auth.log、/var/log/kern.log
  • 轮转文件：/var/log/syslog.1、/var/log/auth.log.1.gz、/var/log/kern.log.2.gz（数字越大越旧，.gz 为压缩归档）
• 查看方式：
  • 查看当前：less /var/log/syslog 或 tail -f /var/log/syslog
  • 查看已轮转：zless /var/log/syslog.1.gz、zcat /var/log/syslog.2.gz | less
  • 按时间筛选：grep "2026-01-02" /var/log/syslog*
  • 按服务筛选：grep "sshd" /var/log/auth.log*
• 说明：rsyslog 写入的文本日志由 logrotate 负责按日/大小轮转、压缩与清理，归档通常位于 /var/log 并以 .1/.gz 形式保留。

三 查看 logrotate 的回收配置与执行记录

• 查看策略配置：
  • 全局：/etc/logrotate.conf
  • 各服务：/etc/logrotate.d/（如 apache2、nginx、rsyslog 等）
• 常用配置项含义：
  • daily/weekly/monthly、size 100M（触发条件）
  • rotate 7（保留份数）
  • compress、delaycompress（压缩与延迟压缩）
  • missingok、notifempty、create 640 root adm（容错与新建文件权限）
• 手动触发与验证：
  • 强制执行：sudo logrotate -f /etc/logrotate.conf
  • 调试模式：sudo logrotate -d /etc/logrotate.conf（仅显示将要执行的操作，不真正轮转）
• 运行方式：默认由 /etc/cron.daily/logrotate 每日定时执行，确保 cron 正常运行即可。

四 数据库类日志的归档查看

• MySQL 二进制日志（Binlog）：
  • 确认启用与文件列表：mysql -uroot -p -e "SHOW VARIABLES LIKE 'log_bin'; SHOW BINARY LOGS;"
  • 查看内容：安装工具 sudo apt install mysql-client，然后
    • mysqlbinlog /var/lib/mysql/mysql-bin.000001
    • 按时间导出：mysqlbinlog --start-datetime="2026-01-01 00:00:00" --stop-datetime="2026-01-02 00:00:00" /var/lib/mysql/mysql-bin.000001
    • 如需可读格式可加 -v，ROW 格式可加 --base64-output=decode-rows