journalctl 日志排查速记：按时间、服务过滤与实时跟踪

服务起不来，先看日志再动手。systemd 的 journalctl 把各服务的日志按时间汇在一起，比逐个翻文件快得多。

一、看最近的报错

journalctl -p err -b
journalctl -p err --since "1 hour ago"

-p err 只看错误及以上级别；-b 只看本次启动；–since 限定最近一小时。先缩小范围，再谈原因。

二、按服务查

journalctl -u nginx.service --since today
journalctl -u sshd.service -n 100

-u 指定服务，-n 取最后 100 行。服务名可用 systemctl list-units --type=service 核对，别凭印象拼。

三、按时间查

journalctl --since "2026-11-07 09:00:00" --until "2026-11-07 10:00:00"
journalctl --since yesterday --until today

故障窗口明确时，用 --since/–until 框住时段；时间用引号包起来，相对时间如 yesterday、“30 minutes ago”也能用。

四、实时跟踪

journalctl -u nginx.service -f
journalctl -f -p warning

-f 像 tail -f 一样实时跟进，复现问题时开着它，报错一出现就停住。配合 -p warning，只看警告及以上，避免被信息日志淹没。

五、查完再动手

先用 journalctl -p err -b 确认报错，再用 -u 和 --since 定位到具体服务和时段，最后才决定重启服务或改配置。改完后用 journalctl -u nginx.service -f 看几行新日志，确认服务恢复且无新报错。记住顺序：定位、处理、验证，别一上来就重启。