journalctl 启动筛选怎么配置或排查

排查 Linux 服务“重启后才恢复”时，最容易犯的错是直接翻整本日志。journalctl 的启动筛选应该先用 --list-boots 确认启动编号，再用 -b -1 选择上一轮启动，最后叠加 -u、--since 或字段匹配。这样既不会把两次启动的同名服务混在一起，也能快速判断问题发生在启动早期还是服务自身。

官方文档：https://www.freedesktop.org/software/systemd/man/255/journalctl.html

先用 --list-boots 确认启动记录

启动筛选依赖日志中的 _BOOT_ID。相对编号是最方便的入口：-b 0 通常指当前启动，-b -1 指上一次启动，-b -2 再往前一轮。这里的“上一轮”不是服务重启，而是系统重新启动；服务单元反复重启仍属于同一个 Boot ID。

# 先列出启动编号、Boot ID 以及每次启动的起止时间
journalctl --list-boots --no-pager

# 只看当前启动最近的 40 条，避免进入 less 分页器
journalctl -b 0 -n 40 --no-pager

如果只看到当前启动，通常意味着旧日志没有保留下来，或者当前用户没有读取系统日志的权限。此时继续尝试 -b -1 不会“找回”不存在的数据。

用 -b 选择正确的启动，再限制服务单元

确定启动编号后，再加服务条件。-u 会按 systemd 单元筛选，并保留与该单元相关的系统管理消息；若直接写结构化字段，也可以使用 _SYSTEMD_UNIT=。排查服务启动失败时，下面的组合通常比单独执行 journalctl -u nginx 更可靠：

# 查看上一轮启动中 nginx.service 的全部相关日志
journalctl -b -1 -u nginx.service --no-pager

# 只看上一轮启动中较重要的错误和警告，限制为 80 行
journalctl -b -1 -u nginx.service -p warning..err -n 80 --no-pager

单元名称必须与系统实际名称一致。模板服务还可能带实例名，例如 worker@2.service；先用 systemctl list-units --type=service 或日志中的单元字段确认，不要把进程名、软件包名和 unit 名混为一谈。

启动筛选和时间筛选要分清边界

-b 以 Boot ID 划分系统启动边界，--since 和 --until 以时间划分区间。两者可以同时使用，实际含义是“某一轮启动中，且落在这个时间窗口内的日志”。时间只写日期时会按当天零点处理，启动跨午夜时尤其容易误判。

# 在上一轮启动范围内，只查看 08:00 到 08:15 的 sshd 日志
journalctl -b -1 -u sshd.service \
  --since "08:00:00" --until "08:15:00" \
  -o short-full --no-pager

# 按 MESSAGE 文本做最后筛选；小写正则默认按不区分大小写处理
journalctl -b -1 -u sshd.service -g "failed|error" -n 100 --no-pager

如果结果为空，先把时间条件去掉，只保留 -b -1 -u。若仍为空，再去掉 -u 看该轮启动是否有任何日志。这个逐层放宽的顺序能区分“时间写错”“unit 写错”和“启动日志根本不存在”。

筛选为空时按证据顺序排查

启动筛选“不生效”通常不是 journalctl 忽略了参数，而是可用日志范围、权限或匹配字段不满足条件。可以按下面清单处理：

1. 再次执行 journalctl --list-boots --no-pager，确认目标 Boot ID 仍在。
2. 用 journalctl -b -1 --no-pager 验证该轮启动有无总体日志。
3. 检查当前用户是否属于 systemd-journal、adm 或 wheel 等可读系统日志的组；必要时用有权限的账号读取。
4. 用 journalctl -N 查看字段名，用 journalctl -F _SYSTEMD_UNIT 查看日志里实际出现过的 unit 值。

另外，只有保存在磁盘上的持久化 journal 才能跨重启回看。若系统只使用运行时日志，重启后上一轮记录可能已经消失；这属于日志保留策略问题，应在确认磁盘空间和合规要求后再调整 journald.conf，不要为了临时排查盲目清理或扩大日志。

常见问题

-b -1 为什么没有输出？

先确认 --list-boots 是否列出负数启动编号。没有上一轮记录时，通常是持久化日志未启用、日志已轮转清理，或当前用户无权读取。

-u nginx 和 -u nginx.service 有区别吗？

systemd 通常能补全常见 unit 名，但排障记录建议写完整的 .service，模板实例则必须写实际实例名，避免匹配范围与预期不同。

应该先用 -p err 还是先用 -g failed？

看目标而定：-p 按日志优先级筛选，-g 按 MESSAGE 文本正则筛选。前者适合缩小风险等级，后者适合定位具体词，两者可以组合。