# Linux 中實時檢視日誌的3種方法

最近我從cnaaa.com購買了雲伺服器。

我們大家應該都知道如何在 Linux 中檢視檔案，比如可以使用 cat 或者 less 命令。

這對於檢視靜態檔案來說是可以的。日誌檔案是動態的，其內容隨時會變化，要監測日誌檔案，需要在日誌檔案內容改變時也能實時看到。

那麼如何實時檢視日誌檔案呢？tail 命令是可以的，除此以外，還有其他的一些工具，本文將會介紹這些可以實時檢視日誌檔案的工具。

**1. 使用 tail 命令檢視日誌檔案**

tail 命令使用非常廣泛，因此係統管理員經常使用口頭禪 tail the log file（即：tail 日誌檔案）。

大多數情況下，tail 命令用於檢視檔案末尾的內容，因此才會被命名為 tail。

使用 -f 選項可以跟蹤檔案末尾的內容，這表示它會持續顯示被新新增到檔案中的內容。

```
tail -f location_of_log_file
```

![圖片](D:/img/640.png)

要停止跟蹤日誌檔案，可以使用 ctrl +c 快捷鍵。

**tail 和 grep**

如上所述，tail 命令可以實時檢視檔案內容的變化。但是，當檔案內容更新特別快速的時候，剛剛更新的內容一閃而過，這種情況下，檢視起來就不那麼方便了。

比如，我們在跟蹤日誌檔案的時候，經常會監視某個特定的術語（字串），在快速更新的大量內容中跟蹤，非常不方便。

為了解決這個問題，我們可以將 tail 和[ grep 命令](http://mp.weixin.qq.com/s?__biz=MzI0OTQyNjU5Mw==&mid=2247484486&idx=1&sn=c5e38d90a9ef895e1860bd5d208bda31&chksm=e990e388dee76a9e7629a556126c397b16101f3590ad9a4569cd01900dec5f0e3d678912eab3&scene=21#wechat_redirect)結合起來使用。如下所示：

```
tail -f log_file | grep search_term
```

![圖片](D:/img/640-1664179747239-1.png)

這樣看起來就好多了，對吧？在這個基礎上，我們再來做一下改進。

使用 grep 展示搜尋詞，顯示的資訊比較有限，它只顯示檢索結果，因此我們經常使用 -C 選項來顯示檢索結果的前後幾行：

```
tail -f log_file | grep -C 3 search_term
```

這樣，我們就能看到檢索結果相關的前後幾行資訊，可以更好的跟蹤日誌資訊。

還想再改進一些嗎？可以對多個搜尋項使用 grep，然後不區分大小寫：

```
tail -f log_file | grep -C 3 -i - E 'search_term_1|search_term_2'
```

**使用日誌輪轉（log rotation）跟蹤日誌**

大多數企業伺服器，日誌都會輪轉（rotation），即當日志檔案達到一定大小後，就會重新命名並壓縮。

![圖片](D:/img/640-1664179747241-2.png)

如果實時跟蹤日誌檔案，則會產生問題。預設情況下，tail 命令用於檔案描述符。如果當前日誌檔案被旋轉，tail 命令現在將指向一個存檔日誌檔案，該檔案現在不會記錄任何更改。

解決方案是按照日誌檔案的名稱跟蹤日誌檔案。這樣，即使發生日誌旋轉，尾部也將指向當前日誌檔案（因為其名稱從未更改）。

```
tail --follow=name log_file | grep -C 3 -i - E 'search_term_1|search_term_2'
```

tail 非常適合實時監控日誌檔案，但上述方法只監控一個日誌檔案。如果要監控多個日誌檔案該怎麼辦呢？請看下一節。

**使用 tail 檢視多個日誌檔案**

在 Linux 系統中工作，可以使用 tail 命令同時監視多個日誌檔案，只需要提供檔案的路徑：

```
tail -f log_file_1 -f log_file_2
```

上述命令，你將會實時看到日誌檔案的更新，並且在前面會帶有檔名，以區分不同的日誌檔案：

![圖片](D:/img/640-1664179747242-3.png)

除了上述方法，還有另外一種更方便的方式，就是使用一個名為 multitail 的工具。

**2. 使用 multitail 同時監視多個日誌檔案**

顧名思義，multitail 用於同時顯示多個檔案。

既然 tail 可以同時監視多個檔案，那麼 multitail 有什麼特別的地方呢？

multitail 的優點在於，它可以在拆分檢視中顯示檔案，甚至可以在不同的行和列中顯示不同的檔案。

tail 在同一檢視中顯示所有內容，所以有時候很難跟蹤，multitail 透過提供類似 screen 命令的分割檢視來克服了這一困難。

注意，multitail 在大多數Linux系統中沒有被預設安裝，所以在使用前需要先手動安裝。

在 multitail 命令後跟檔案路徑，最好一次不要超過3個，因為超過3個或以上，跟蹤起來就比較困難了。

```
multitail log_file_1 log_file_2
```

預設情況下，multitail 的工作方式與 tail -f 相同，它顯示最後100行，然後進入實時監視檢視；另外，它按行來拆分檢視。

![圖片](D:/img/640-1664179747242-4.png)

你可以按 b 鍵開啟一個檔案選擇視窗，選擇某個日誌檔案檢視，以做進一步分析。

分割檢視使用 -s 選項，後面跟一個數字，即檢視的數量：

```
multitail -s 2 log_file_1 log_file_2
```

![圖片](D:/img/640-1664179747243-5.png)

按 q 鍵可退出 multitail 所有的檢視。

multitail 可以做的還有很多，大家感興趣可以檢視一下它的官方文件，本文就不繼續介紹了。

**3. 使用 less 命令實時檢視日誌檔案**

less 命令多用於讀取文字檔案，也可用於讀取實時被更改的檔案。

選項 +F 可以實時跟蹤檔案的更改：

```
less +F log_file
```

上述命令會開啟日誌檔案，並實時顯示正在寫入的更改：

![圖片](D:/img/640-1664179747243-6.png)

按 ctrl +c 中斷顯示，按 q 會退出檢視。

與 tail 命令不同，此方法可以讓我們快速檢視日誌的更改，而不會使螢幕混亂。

上述監視日誌的方法適用於傳統的基於文字的日誌檔案。對於系統日誌，可以使用 syslogs，但是現在許多 Linux 發行版已經開始使用 journal 日誌來檢視和分析日誌，所以需要使用 journalctl 命令。

Linux 中實時檢視日誌的3種方法

相關文章