journalctl: фильтры и follow

Системный журнал systemd — это первое место, куда нужно смотреть, когда сервис упал или узел начал жрать CPU. journalctl умеет гораздо больше, чем вывести весь лог подряд: фильтровать по юнитам, приоритетам, временным окнам и читать в реальном времени. Ниже — рабочий набор, который я использую ежедневно.

Follow in real time

Поведение, аналогичное tail -f, но с учётом структурированного формата journald:

journalctl -f

Флаг -f (short for --follow) выводит новые записи по мере их появления. По умолчанию показывает все юниты — удобно, когда не знаешь, где именно горит.

journalctl -f --no-pager

Filter by unit

Юнит — самый частый фильтр. Один ключ -u и конкретное имя сервиса:

journalctl -u nginx.service
journalctl -u docker.service

Можно передать несколько юнитов — journalctl покажет записи из всех указанных:

journalctl -u nginx.service -u postgresql.service

Priority and time filters

Фильтр по приоритету задаётся через -p (или --priority). Уровни от 0 до 7:

Показать только ошибки и критические:

journalctl -p err

Временные окна — через --since и --until. Поддерживаются абсолютные даты и относительные выражения:

journalctl --since "1 hour ago"
journalctl --since today --until "2 hours ago"
journalctl --since "2025-01-15 08:00:00" --until "2025-01-15 12:00:00"

Combining flags

В реальной работе фильтры комбинируют. Типичный запрос — смотреть ошибки конкретного сервиса за последний час в реальном времени:

journalctl -u nginx.service -p err --since "1 hour ago" -f --no-pager

Ещё один частый паттерн — вывод последних N строк по юниту с фильтром приоритета:

journalctl -u postgresql.service -p warning -n 100 --no-pager

Здесь -n 100 ограничивает вывод последними 100 записями.

Сводка по ключам из повседневного арсенала: