tail -f 适合日志不轮转的场景，如本地调试固定路径日志；它基于文件描述符跟踪，日志轮转后原 inode 失效，导致“断连”停在旧文件末尾。
直接用 tail -f 最快，但遇到日志轮转、需要回溯或同时盯多个文件时，它就不够用了——得换工具或加参数。
tail -f 适合什么场景？为什么有时会“断连”？
tail -f 是最轻量的实时监控方式，只监听文件末尾追加内容，不加载全文，内存占用低。但它本质是基于文件描述符（fd）跟踪，一旦日志被轮转（比如 logrotate 重命名并新建同名文件），原 fd 就失效，tail -f 会停在旧文件末尾，不再输出新日志。
- 用
tail -F（大写 F）替代：它会检测文件是否被替换，自动 reopen 新文件 - 想启动时先看最近 100 行再持续监听？写成
tail -n 100 -f /var/log/messages - 监控多个文件？
tail -f /var/log/syslog /var/log/auth.log会交替输出，但无分屏、无颜色区分 - SSH 断开后进程自动退出，无法后台常驻；如需守护，得配合
nohup或 systemd service
less +F 模式：兼顾实时与交互浏览
less +F 启动即进入“follow 模式”，行为类似 tail -f，但按下 Ctrl+C 就能立刻切回普通浏览模式：支持上下翻页、/pattern 正向搜索、?pattern 反向搜索、n/N 跳转，再按 Shift+F 又能回到实时跟踪。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 适合大日志（几百 MB）：不全读入内存，启动快，响应稳
- 搜索默认区分大小写；加
-i启动可忽略大小写：less -i +F /var/log/nginx/error.log - 误按
v进入编辑器？别慌，q直接退出，less不会修改原文件 - 注意：
+F必须写在文件路径前，less /var/log/syslog +F无效
journalctl -f：systemd 系统的日志唯一真相源
如果你的系统用的是 systemd（Ubuntu 16.04+、CentOS 7+、Debian 8+ 等），journalctl 才是结构化日志的权威接口，/var/log/ 下的文本日志只是它的导出副本，可能延迟或缺失字段。
- 全局实时：运行
journalctl -f - 只看某服务：如
journalctl -u nginx.service -f - 从 5 分钟前开始追：用
journalctl --since "5 minutes ago" -f - 按优先级过滤：比如只看错误和警告
journalctl -p err..warn -f - 注意：默认不显示完整路径和时间戳；加
-o verbose或--all查看元数据
multitail：多日志并行监控的实用底线
当你要同时盯 nginx access.log、error.log 和 application.log，还要颜色高亮、滚动同步、临时过滤，multitail 是最接近“终端 IDE”的选择，比拼接多个 tail 或手动切窗口高效得多。
- 安装后直接运行：
multitail /var/log/nginx/access.log /var/log/syslog - 按
l键可对当前窗口启用 grep 过滤（如输入50[0-9]） - 按
b切换背景色，c开启/关闭颜色，s切换同步滚动 - 它不依赖 systemd，也不怕日志轮转——内部已处理 reopen 逻辑
- 缺点：非默认安装，小容器环境里可能没预装；纯命令行，无 Web 替代品
真正复杂的不是选哪个命令，而是理解日志来源：systemd 日志走 journalctl，传统守护进程日志走 tail/less，而多服务关联分析时，multitail 的分屏能力几乎不可替代——别等故障发生才试熟快捷键。
