journalctl 默认显示全部系统日志，按时间倒序排列（最新在前），支持分页浏览；实际使用需加参数控制范围、方向或过滤条件。
journalctl 查 systemd 日志的默认行为是什么
直接运行 journalctl 会输出全部日志（从最早到最新），但实际几乎没人这么用——它默认按时间倒序，最新条目在最前，且一次性加载可能卡顿或刷屏。真正有用的是加参数控制范围和方向。
-
journalctl -n 100：只显示最近 100 行，避免全量加载 -
journalctl --since "2026-07-09" --until "2026-07-10 02:00"：按时间区间过滤，注意格式必须严格为YYYY-MM-DD或带时间的完整字符串 -
journalctl -b：只查本次启动后的日志，排除上次关机残留，排查启动问题必用 -
journalctl -p 3：只显示优先级 ≤3 的日志（即err及以上），-p后数字对应 syslog 级别：0=emerg, 3=err, 6=info
tail -f /var/log/syslog 和 journalctl -f 有啥区别
本质不同：tail -f 是文件监听器，journalctl -f 是 journal 接口实时流。前者依赖 rsyslog 或 syslog-ng 是否把日志写入文件；后者直接读取 systemd-journald 的二进制日志，不经过文件落盘。
- 如果系统没启用
rsyslog或配置里禁用了/var/log/syslog写入，tail -f /var/log/syslog就是空的，但journalctl -f仍能工作 -
journalctl -f支持结构化字段过滤，比如journalctl -f _SYSTEMD_UNIT=sshd.service，而tail只能靠grep文本匹配，漏掉上下文 -
tail -f在 logrotate 轮转后可能中断（除非用大写-F），journalctl -f不受文件轮转影响
为什么 grep error /var/log/messages 有时找不到错误
不是所有“错误”都写进 /var/log/messages，也不是所有错误都含 “error” 字样。常见漏点：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 内核错误走
dmesg缓冲区，不在文本日志里，得用dmesg -T | grep -i "fail\|oom\|panic" - 认证失败记在
/var/log/auth.log（Debian/Ubuntu）或/var/log/secure（RHEL/CentOS），不是messages - 服务自身日志独立存放，比如
nginx错误日志在/var/log/nginx/error.log，mysql在/var/log/mysql/error.log - 有些程序用
logger发 syslog，但设施（facility）设成local0～local7，默认不进messages，得查对应配置
less 查大日志时怎么快速定位关键行
less 是安全打开大日志的首选，但光用 / 搜索容易错过上下文。实际操作要组合动作：
- 打开后先按
G跳到底部，再按k往上翻，比从头看快得多 - 搜索时加
-i忽略大小写：less -i /var/log/syslog，然后输入/segmentation - 找到一行后，按
{跳到上一个段落（通常是时间戳开头），}跳到下一个段落，快速识别完整事件块 - 想看某行前后几行？退出
less，改用sed -n '123,128p' /var/log/syslog（假设目标行号是 123）
真正难的不是命令本身，而是判断该查哪一类日志、哪个时间点、哪个服务单元——日志分散在 journal、文件、内核缓冲区三处，混用工具才能补全线索。
