linux系统日志介绍

linux上有很多种日志，一般分为五种类型：
一、 syslog
syslog 是一套日志协议 / 框架，传统由 syslogd、后来 rsyslog、syslog‑ng 实现；linux上大部分日志，例如：messages、secure/auth.log、cron、maillog、lpr.log 等一般都是由 syslog管理。查看 rsyslog 配置：/etc/rsyslog.conf、/etc/rsyslog.d/*.conf，定义 facility 对应输出文件。 syslog文件是文本形式，可以直接cat。

二、systemd‑journal：journalctl

journald 接收：内核消息、systemd 托管服务 stdout/stderr；journal 本身不是 syslog 文件，是二进制数据库。
journald 可以转发给 rsyslog，如果配置了转发，才会转发写入 syslog。
   journald日志是二进制数据库，无法直接通过cat访问。
  查看journald日志：

journalctl    # 全部日志，从旧到新输出
journalctl -f  # 实时跟踪（类似 tail -f）
journalctl -e  # 只看最新，不翻历史
journalctl -e  # 从日志末尾开始看（-e --pager-end）
journalctl -u sshd   #查看sshd日志
journalctl -u sshd -u crond   #查看多个服务日志



三、/var/log/dmesg
内核启动环形缓冲区，来自内核 printk，不走 syslog。rsyslog 可以把内核 syslog 消息也存 messages，但 dmesg 是独立缓冲区。
四、/var/log/boot.log
systemd 启动输出，systemd 捕获，不一定走 syslog。
五、应用自己直接写文件，不走 syslog socket：

nginx access.log / error.log
apache access.log error.log
mysql mariadb 日志
tomcat catalina.out

不是所有文件都是 syslog 输出；一部分是应用直接写文件、systemd‑journal、内核环形缓冲区。