摘要：一周收 47 封告警邮件，但每一封都只说「出事了」，不说「为什么出事」。这篇把日志分析的地基搭起来：看清你会接触到的三类日志（access.log/error.log/syslog）、syslog和journalctl该先学哪个、日志分析的三个层次「看 → 筛 → 析」，以及grep、awk、sed三把刀各自的分工。最后用一个经典翻车收尾：grep结果刷屏几千行，到底该怎么收场。承接上篇：logrotate配好了，日志自动切割，磁盘不会再被撑爆。一、告警的「疲劳轰炸」周一早上，小林打开邮箱，傻眼了。收件箱里躺着 47 封告警邮件：[FIRING:1] HighCpuUsage (warning) [FIRING:1] HighMemoryUsage (warning) [FIRING:1] InstanceDown (critical) [RESOLVED] HighCpuUsage [FIRING:1] HighDiskUsage (warning) [RESOLVED] HighDiskUsage [FIRING:1] HighCpuUsage (warning) ...「周哥，我邮箱爆了。」老周走过来看了一眼：「你配了几条告警？」「CPU、内存、磁盘、服务离线……六七条吧。」「六七条告警，一周 47 封邮件。」老周说，「你知道问题在哪吗？」小林摇头。「告警告诉你『出事了』，但没告诉你『为什么出事』。」老周说，「你收到HighCpuUsage，只知道 CPU 高，但不知道为什么高。你收到InstanceDown，只知道服务挂了，但不知道为什么挂。」「那怎么知道为什么？」「看日志。」老周说，「告警是『症状』，日志是『病历』。你得从病历里找病因。」小林在笔记本上写下：告警：症状，告诉你「出事了」；日志：病历，告诉你「为什么出事」。二、日志的三种类型「你现在接触过哪些日志？」老周问。小林想了想：「Nginx 的access.log和error.log。」「对，这是两种。还有第三种：系统日志。」老周拿过小林的笔记本，画了一个表。类型文件内容用途访问日志/var/log/nginx/access.log谁访问了什么分析流量、Top IP、Top URL错误日志/var/log/nginx/error.logNginx 自身的错误排查 500、502、权限问题系统日志/var/log/syslog系统事件、服务状态排查服务崩溃、登录失败「syslog你还没碰过。打开看看。」sudotail-20/var/log/syslog输出：Sep 14 10:00:01 ubuntu systemd[1]: Starting Daily apt upgrade... Sep 14 10:00:02 ubuntu systemd[1]: Started Daily apt upgrade. Sep 14 10:05:23 ubuntu sshd[1234]: Accepted publickey for devops from 192.168.1.100 port 54321 ssh2 Sep 14 10:10:45 ubuntu kernel: [12345.678] nginx[1236]: segfault at ...「syslog记录所有系统事件——服务启动、SSH 登录、内核报错、定时任务，都在这。」「那journalctl呢？」「journalctl是 systemd 的日志工具，看的是journal，不是syslog。」老周说，「journal是二进制格式，syslog是文本格式。你入门阶段先用syslog——因为它是文本，能直接喂给grep和awk处理。」小林记下：access.log：访问日志，分析流量；error.log：错误日志，排查 Nginx 错误；syslog：系统日志，排查系统事件；journalctl：systemd 日志，二进制格式。说明：后面练习用的这份日志是「综合样例」。老周给小林拷了一份脱敏的综合练习日志（里面混了一台测试服务器的记录），放在练习机的/var/log/nginx/access.log。所以它会同时出现纯静态博客不会有的/api/*接口路径和 500 状态码——这两种形态在真实日志里都很常见，正好拿来练手。你自己练的时候，用你自己服务的日志就行。三、日志分析的三个层次「现在讲方法。」老周说，「日志分析分三个层次：看、筛、析。」第一层：看。「你得知道日志长什么样，有哪些字段。用head、tail、wc -l。」sudo