Логирование системы

[andytux]

- а почему не в /etc/systemd/journald.conf ?

Чтобы не смешивать с системными. В нём только мои изменения. Легко вернуть всё назад. Вообще, в практике systemd, там обычно не реальные файлы, а символические ссылки на них. Убрал ссылку - отключил конфиг.

[F12]

Чтобы не смешивать с системными ...

- действительно удобно

[andytux]

Немного о приоритетах этих настроек.

попробуй в /etc/systemd/journald.conf раскомментировать строку #Storage=auto...

Это указано значение по умолчанию. Оно используется, если больше нет никаких настроек этого параметра. 'auto' - значит демон по каким-то своим критериям выберет, где сохранять. Может по наличию свободного места, а может в разных версиях алгоритм выбора разный.
Раскомментирование, по сути, не должно ничего изменить, останется 'auto'.
Определение пармаметра в /etc/systemd/journald.conf.d в любом случает перекроет значение в /etc/systemd/journald.conf.
Могут быть другие значения этого параметра. Как в моём примере, 'none' - нигде, ничего не сохраняет. Есть вариант для постоянного хранилища, не помню, а нигде не сохранил.

А почему у меня нет /var/log/journal, хотя systemd-journald.service "Loaded" и "Active"?

Ну ты известный экспериментатор...
Может быть, как написал выше, кто его знает, как 'auto' выбирает место хранения. Может разные условия на твоих разных системах, может изменился алгоритм выбора. Чтобы не зависеть от этих если, задай какой тебе нужен.

...занимал 2.5GB. /etc/systemd/journal.conf я там поредактировал.

Полностью зависит от настроек.
Из практики. Раньше занимал примерно 10% от размера раздела. Я задавал, чтобы сохранял четыре файла.
В 24.04 журналировать стал заметно больше. В четыре файла не помещался даже один день. Я задал сохранять шесть файлов. Можно сделать ограничения конкретно по размеру.
Как-то, после одной из тем на форуме, отключил сохранение совсем.

[ALiEN]

Как-то, после одной из тем на форуме, отключил сохранение совсем.

Логи на то и логи, чтобы понять, что пошло не так. В чём смысл их отключения?
Если место сэкономить - то выгода очень сомнительна. journald хранит их в бинарном формате, естественно с компрессией.
Или это влияние побасёнок про ресурс SSD? В любом случае, считаю, что отключение логов - очень вредный совет.

(Нажмите, чтобы показать/скрыть)

Вот буквально вчера прокся отвалилась, хотя пару лет работала безупречно. Перезагрузил систему, заглянул в лог - сегфаулт. Значит, надо будет потестить оперативку и систему под нагрузками. А без лога что? Гадать на кофейной гуще?

(Нажмите, чтобы показать/скрыть)

$: journalctl --disk-usage
Archived and active journals take up 166.8M in the file system.

#: journalctl --rotate && journalctl --vacuum-time=1s

$: journalctl --disk-usage
Archived and active journals take up 16M in the file system.

[andytux]

Логи на то и логи, чтобы понять, что пошло не так.

Абсолютно согласен. Но пока так. Вчера вот включал, чтобы понять, что на чужом компьютере не так.
А по размеру, выше пример, 2,5 гб уже немало, но и это ещё цветочки. Вот и Peter_I не стал читать эти гигабайты, чтобы понять, что не так.
Никому не советую выключать логи. Эта тема, весьма показательный пример, как оно без логов. Полсотни постов пытаемся найти...
За команды спасибо. Пожалуй, больше подтверждают мои слова. Ротация проводится по умолчанию. Если не устраивают её параметры, то настрой как тебе надо.

[ALiEN]

А по размеру, выше пример, 2,5 гб уже немало

не указан временной промежуток. Мож там лог пятилетней давности

Но опять же размер - настраивается. А аномальное разрастание объёма - повод всё-таки их прочитать. 

[andytux]

Это и есть параметры ротации.

Код: [Выделить]

[Journal]
#SystemMaxFileSize=    - максимальный размер файлов не задан
#SystemMaxFiles=100    -  может быть до сотни файлов
#RuntimeMaxFileSize=    - сколько сохранит в опертивке
#RuntimeMaxFiles=100    - сколько сохранит в оперативке
#MaxFileSec=1month    - за какое время сохраняет
Какой из параметров будет превышен, по такому и сработает ротация.
Нередко возникают темы о лёгкости системы, о потреблении памяти. Вот тебе и потребление памяти.
Надеюсь, от нашей беседы будет кому-нибудь польза, а не только засорение темы. Кто-нибудь прочитает, на ус намотает.

[ALiEN]

а не только засорение темы.

Да.
Разделил тему.

> Оригинальная тема [Гаснет монитор]

[F12]

кто его знает, как 'auto' выбирает место хранения

- у себя в заметках нашёл

По умолчанию journald перезаписывает свои журналы логов при каждой перезагрузке, и вызов journalctl выведет журнал логов начиная с текущей загрузки системы.

Если необходимо настроить постоянное сохранение логов, потребуется отдельно это настроить, т.к. разработчики отказались от постоянного хранения всех журналов, чтобы не дублировать rsyslog.

Когда в конфигурационном файле /etc/systemd/journald.conf параметру Storage= задано значение auto) и каталога /var/log/journal/ не существует, журнал будет записываться в /run/log/journal без сохранения между перезагрузками, если /var/log/journal/ существует, журналы будут сохраняться в нем, на постоянной основе, но если каталог будет удален, systemd не пересоздаст его автоматически и вместо этого будет вести журнал снова в /run/systemd/journal без сохранения. Каталог может быть пересоздан в таком случае, если добавить Storage=persistent в journald.conf и перезапустить systemd-journald.service (или перезагрузиться).

   ... есть и ссылка на источник: https://habr.com/ru/companies/ruvds/articles/533918/  (доверять или не доверять автору каждый решает сам, а на мой взгляд статья хоть и не самая свежая, но очень даже полезная, ибо избавляет от необходимости каждый раз курить кучу манов, потому собственно почти целиком и сохранил её себе в Joplin в виде нескольких заметок)

[andytux]

Вот спасибо!
'Storage=persistent' - значение, которое я забыл, точнее я сомневался, может 'persist'. В точности, как в случае "живой системы".

[ALiEN]

По умолчанию journald перезаписывает свои журналы логов при каждой перезагрузке, и вызов journalctl выведет журнал логов начиная с текущей загрузки системы.

скорее всего, имелась ввиду ротация - закрыть текущий активный журнал и начать писать в новый файл. Иначе бы ключ -b не имел бы никакого значения.

--boot             -b  -- Show data only from the specified boot or offset

[andytux]

Небольшой реверанс в сторону недавней темы про файлменеджеры и меню пользователя.
У journalctl возможностей масса, всех не упомнишь, а когда понадобится, именно самую подходящую забудешь.
Стал конструировать команду для меню пользователя.

Код: [Выделить]

+= f *journal | f *service | d /var/log/journal* & ! t t
Journalctl
  key='--boot --catalog'
  case %f in
    *.service) key="--unit=%f";;
    *.journal) key="--file=%f";;
    *journal) key="--directory=%f";;
    *) ;;
  esac
  journalctl ${key}
Когда указатель на конкретном файле журнала, то будет показан именно этот журнал. Если указатель на файле сервиса, то будет показан журнал по этому сервису.
В прочих случаях, будет открыт журнал текущей загрузки.

[ALiEN]

всех не упомнишь

Код: [Выделить]

-feu SRV #фей - вывести лог в реалтайм
-u SRV #юнит
-b NUM #boot
--grep TXT #греп, ага))
Из того что вспомнил - мне хватает) А, ну since-until еще. Ну ооочень редко. 1 на миллион)

[Peter_I]

ALiEN, там заведомо меньше двух лет.

[ALiEN]

Peter_I, не суть. Речь вообще не об этом.
Забыли отформатировать корень при установке - вот вам и занятое место журнала.
Да и для двух лет два гига логов - вполне нормально.