Linux Logs सोप्या भाषेत: journalctl, /var/log, rsyslog आणि logrotate उदाहरणांसह

By Ravindra Bagale, trainer · LinkedIn · Last updated: 25 October 2026

1. रोजचं उदाहरण: दुकानाचं bill book

हे का लागतं?

कोथरूडचं किराणा दुकान प्रत्येक विक्री bill book मधे लिहितं. Book भरलं की मालक ते बांधतो, महिन्याचं label लावतो आणि shelf वर ठेवतो. वर्षानंतर सर्वात जुनी books टाकून देतो. Customer ने तक्रार केली की योग्य book उघडून योग्य तारीख शोधतो.

हे काय आहे?

Bill book = log file. प्रत्येक विक्री लिहिणं = program log lines लिहितो. भरलेलं book बांधणं = logrotate. सर्वात जुनं टाकणं = rotate 7. योग्य तारीख शोधणं = journalctl --since किंवा grep.

कसं करायचं (step by step)

2. /var/log: मुख्य log files

हे का लागतं?

अनेक tools आणि जुनी apps साध्या text files लिहितात. कोणती file उघडायची ते माहीत हवं.

हे काय आहे?

/var/log मधे text logs. बहुतेकांना वाचायला sudo लागतो. त्यांवर tail -n, tail -f, less +F आणि grep.

कसं करायचं (step by step)

1. Files बघा.

ls -lh /var/log | head -5

Output:

-rw-------. 1 root root  1.2M Oct 25 12:10 messages
-rw-------. 1 root root  210K Oct 25 12:09 secure
-rw-------. 1 root root   18K Oct 25 12:00 cron
drwxr-xr-x. 2 root root  4.0K Oct 25 00:00 nginx

याचा अर्थ: बहुतेक फक्त root.

2. शेवटच्या 5 SSH login lines.

sudo tail -n 5 /var/log/secure

Output:

Oct 25 12:09:41 web1 sshd[5120]: Accepted publickey for ec2-user from 49.36.1.10 port 51022 ssh2

याचा अर्थ: कोणी, कुठून login.

3. Failed logins.

sudo grep 'Failed password' /var/log/secure | tail -n 3

Output:

Oct 25 03:12:07 web1 sshd[901]: Failed password for root from 185.22.1.9 port 4410 ssh2

याचा अर्थ: Brute force प्रयत्न.

3. journalctl: संपूर्ण journal वाचा

हे का लागतं?

प्रत्येक systemd service चं output journal मधे. एक command सगळं वाचतो.

हे काय आहे?

नुसतं journalctl सगळ्या entries सर्वात जुन्यापासून pager मधे. -r = नवीन आधी. -n 20 = शेवटच्या 20. --no-pager = थेट print. -e = शेवटी जा. सगळं बघायला sudo किंवा systemd-journal (किंवा adm) group.

कसं करायचं (step by step)

1. शेवटच्या 3 entries.

sudo journalctl -n 3 --no-pager

Output:

Oct 25 12:10:01 web1 CROND[5201]: (root) CMD (/usr/local/bin/backup.sh)
Oct 25 12:10:02 web1 systemd[1]: Started Session 41 of User ec2-user.
Oct 25 12:10:05 web1 sudo[5222]: ec2-user : COMMAND=/bin/journalctl -n 3

याचा अर्थ: Time, host, program[PID], message.

2. नवीन आधी.

sudo journalctl -r -n 2 --no-pager

Output:

Oct 25 12:10:05 web1 sudo[5222]: ...
Oct 25 12:10:02 web1 systemd[1]: ...

याचा अर्थ: उलटा क्रम.

4. journalctl -u: एक service

हे का लागतं?

तुम्हाला एका बिघडलेल्या service ची काळजी, पूर्ण system ची नाही.

हे काय आहे?

-u NAME फक्त ती unit. अनेकांसाठी -u परत. -n, -f, --since सोबत. timers आणि इतर units ना पण.

कसं करायचं (step by step)

1. API च्या शेवटच्या 20 lines.

journalctl -u shop-api -n 20 --no-pager

Output:

Oct 25 12:01:44 web1 node[4410]: Error: cannot connect to DB at 10.0.0.9:5432
Oct 25 12:01:44 web1 systemd[1]: shop-api.service: Main process exited, code=exited, status=1/FAILURE

याचा अर्थ: App error आणि systemd चं मत.

2. दोन units एकत्र.

journalctl -u nginx -u php-fpm -n 10 --no-pager

Output:

(lines from both, mixed by time)

याचा अर्थ: Request chains साठी छान.

5. journalctl -f: live follow

हे का लागतं?

Fix test करताना नव्या log lines लगेच दिसायला हव्या.

हे काय आहे?

-f नव्या lines print करत राहतो, tail -f सारखं. थांबायला Ctrl+C. एकत्र: journalctl -fu NAME. tail -F FILE text files साठी तेच, rotation टिकतो.

कसं करायचं (step by step)

1. Restart करताना API बघा.

journalctl -fu shop-api

Output:

Oct 25 12:20:11 web1 systemd[1]: Started Shop API.
Oct 25 12:20:12 web1 node[5301]: listening on :3000

याचा अर्थ: दुसऱ्या terminal मधे उघडा.

2. nginx errors follow.

sudo tail -F /var/log/nginx/error.log

Output:

2026/10/25 12:21:03 [error] 1013#0: *77 connect() failed (111: Connection refused) while connecting to upstream

याचा अर्थ: -F rotation नंतर परत उघडतो.

6. --since आणि --until: time windows

हे का लागतं?

Alert सांगतो 'दुपारी 2:15 ला errors'. फक्त तो window हवा.

हे काय आहे?

--since आणि --until घेतात '2026-10-25 14:00', 'today', 'yesterday', '1 hour ago', '-30m'. UTC दिलं नाही तर local time.

कसं करायचं (step by step)

1. Incident window.

journalctl -u shop-api --since '2026-10-25 14:10' --until '2026-10-25 14:20' --no-pager | wc -l

Output:

42

याचा अर्थ: 40,000 नाही, 42 lines.

2. शेवटची 30 minutes.

journalctl --since '30 min ago' -p err --no-pager

Output:

Oct 25 12:01:44 web1 node[4410]: Error: cannot connect to DB

याचा अर्थ: पटकन health बघा.

7. -p: priority ने filter

हे का लागतं?

बहुतेक lines info. Incident मधे फक्त errors हवे.

हे काय आहे?

Levels: 0 emerg, 1 alert, 2 crit, 3 err, 4 warning, 5 notice, 6 info, 7 debug. -p err म्हणजे err आणि त्याहून गंभीर. -p warning..err range.

कसं करायचं (step by step)

1. या boot चे errors.

journalctl -b -p err --no-pager | head -3

Output:

Oct 25 09:10:05 web1 kernel: xfs: Ending clean mount
Oct 25 12:01:44 web1 node[4410]: Error: cannot connect to DB

याचा अर्थ: Fix करायची छोटी list.

2. फक्त warnings.

journalctl -p warning..warning --since today --no-pager | wc -l

Output:

17

याचा अर्थ: नेमका एक level.

8. -b आणि --list-boots: प्रत्येक boot चे logs

हे का लागतं?

Crash आणि reboot नंतर reboot आधीचे logs हवे.

हे काय आहे?

-b = हा boot. -b -1 = मागचा boot. --list-boots सगळे saved boots. जुने boots ठेवायला persistent journal हवं.

कसं करायचं (step by step)

1. Boots list.

journalctl --list-boots --no-pager

Output:

-1 6a1f... Sat 2026-10-24 08:01:10 IST—Sun 2026-10-25 09:09:50 IST
 0 9c2e... Sun 2026-10-25 09:10:00 IST—Sun 2026-10-25 12:22:00 IST

याचा अर्थ: दोन boots saved.

2. मागच्या boot चा शेवट.

journalctl -b -1 -n 5 --no-pager

Output:

Oct 25 09:09:48 web1 kernel: Out of memory: Killed process 4410 (node)

याचा अर्थ: Reboot आधी OOM ने app मारलं.

9. -k आणि dmesg: kernel messages

हे का लागतं?

Disk errors, out-of-memory kills आणि USB problems kernel सांगतो.

हे काय आहे?

journalctl -k या boot चे kernel messages. dmesg -T human times सह kernel ring buffer. dmesg -w follow. 'Out of memory', 'I/O error' शोधा.

कसं करायचं (step by step)

1. OOM kills शोधा.

sudo dmesg -T | grep -i 'out of memory'

Output:

[Sun Oct 25 09:09:48 2026] Out of memory: Killed process 4410 (node) total-vm:2.1GB

याचा अर्थ: Kernel ने app मारलं.

2. फक्त kernel errors.

journalctl -k -p err --no-pager

Output:

Oct 25 09:10:03 web1 kernel: nvme1n1: I/O error, dev nvme1n1, sector 2048

याचा अर्थ: Disk problem.

10. -o: output formats, json आणि grep

हे का लागतं?

कधी script किंवा log tool साठी नेमके fields हवे, किंवा फक्त message.

हे काय आहे?

-o short (default), -o short-iso (ISO times), -o cat (फक्त message), -o json किंवा json-pretty (सगळे fields). -g PATTERN (किंवा --grep) messages शोधतो. _PID=, _UID=, SYSLOG_IDENTIFIER= field ने filter.

कसं करायचं (step by step)

1. एका line चं JSON.

journalctl -u shop-api -n 1 -o json-pretty --no-pager | head -5

Output:

{
	"_PID" : "4410",
	"PRIORITY" : "3",
	"MESSAGE" : "Error: cannot connect to DB at 10.0.0.9:5432",

याचा अर्थ: प्रत्येक field आहे.

2. Message शोधा.

journalctl -u shop-api -g 'timeout' --since today --no-pager | wc -l

Output:

12

याचा अर्थ: आज 12 timeouts.

3. फक्त messages.

journalctl -u shop-api -n 2 -o cat --no-pager

Output:

listening on :3000
GET /health 200

याचा अर्थ: Dates नाहीत, वाचायला सोपं.

11. Persistent journal, --disk-usage आणि --vacuum

हे का लागतं?

काही systems वर journal RAM मधे आणि reboot ला गायब. इतरांवर हळूहळू disk भरतो.

हे काय आहे?

/var/log/journal असेल तर logs reboot टिकतात (/etc/systemd/journald.conf मधे Storage=persistent). --disk-usage size. --vacuum-size=500M किंवा --vacuum-time=14d जुन्या files delete. SystemMaxUse=1G limit.

कसं करायचं (step by step)

1. आत्ताची size.

journalctl --disk-usage

Output:

Archived and active journals take up 2.3G in the file system.

याचा अर्थ: लहान disk साठी खूप.

2. 500 MB पर्यंत कमी.

sudo journalctl --vacuum-size=500M

Output:

Vacuuming done, freed 1.8G of archived journals from /var/log/journal/9c2e....

याचा अर्थ: जुने archives गेले.

3. Persistent आणि capped.

sudo mkdir -p /var/log/journal && printf '[Journal]\nStorage=persistent\nSystemMaxUse=1G\n' | sudo tee /etc/systemd/journald.conf.d/size.conf && sudo systemctl restart systemd-journald

Output:

[Journal]
Storage=persistent
SystemMaxUse=1G

याचा अर्थ: Reboot टिकतो, 1 GB पेक्षा जास्त नाही.

12. logger: स्वतःच्या log lines लिहा

हे का लागतं?

तुमच्या shell scripts ने बाकी सगळ्यांच्या जागीच नोंद ठेवायला हवी.

हे काय आहे?

logger 'message' syslog/journal ला लिहितो. -t TAG program नाव. -p user.err priority. मग journalctl -t TAG ने शोधा.

कसं करायचं (step by step)

1. Backup script मधून log.

logger -t backup -p user.err 'backup failed: disk full'

Output:

(no output)

याचा अर्थ: आता journal आणि /var/log/messages मधे.

2. शोधा.

journalctl -t backup -n 1 --no-pager

Output:

Oct 25 12:30:00 web1 backup[5410]: backup failed: disk full

याचा अर्थ: Tag मुळे शोधणं सोपं.

13. rsyslog: rules आणि remote logging

हे का लागतं?

App logs वेगळ्या file मधे हवे, किंवा सगळ्या servers चे logs एका central box वर, server मेला तरी टिकतील.

हे काय आहे?

Config /etc/rsyslog.conf आणि /etc/rsyslog.d/*.conf. Rule म्हणजे 'facility.priority destination'. उदा. local0.* /var/log/myapp.log. @host:514 UDP, @@host:514 TCP. rsyslogd -N1 ने तपासा, मग rsyslog restart.

कसं करायचं (step by step)

1. local0 वेगळ्या file मधे.

echo 'local0.*  /var/log/myapp.log' | sudo tee /etc/rsyslog.d/30-myapp.conf && sudo rsyslogd -N1 && sudo systemctl restart rsyslog

Output:

rsyslogd: End of config validation run. Bye.

याचा अर्थ: Config valid.

2. Test करा.

logger -p local0.info 'order 1001 placed' && sudo tail -n1 /var/log/myapp.log

Output:

Oct 25 12:35:10 web1 ec2-user: order 1001 placed

याचा अर्थ: Rule चालतो.

3. सगळं TCP ने log server ला.

echo '*.* @@10.0.0.50:514' | sudo tee /etc/rsyslog.d/90-forward.conf && sudo systemctl restart rsyslog

Output:

*.* @@10.0.0.50:514

याचा अर्थ: दोन @ म्हणजे TCP.

14. logrotate: logs ने disk भरू देऊ नका

हे का लागतं?

App log 50 GB होऊन पूर्ण server थांबवू शकतो. logrotate हवं तेवढंच ठेवतो.

हे काय आहे?

Main config /etc/logrotate.conf, app configs /etc/logrotate.d/ मधे. नेहमीचे options: daily/weekly, rotate 7, compress, delaycompress, missingok, notifempty, maxsize 100M, create 0640 user group, copytruncate (reopen न करणाऱ्या apps साठी), postrotate ... endscript. Timer किंवा cron ने रोज चालतो. -d = dry run, -f = आत्ता force.

कसं करायचं (step by step)

1. App साठी rule.

sudo tee /etc/logrotate.d/shop <<'X'
/var/log/shop/*.log {
    daily
    rotate 7
    compress
    delaycompress
    missingok
    notifempty
    create 0640 shop shop
    postrotate
        systemctl reload shop-api >/dev/null 2>&1 || true
    endscript
}
X

Output:

(file text)

याचा अर्थ: एक आठवड्याचे logs, compressed.

2. Dry run.

sudo logrotate -d /etc/logrotate.d/shop

Output:

rotating pattern: /var/log/shop/*.log  after 1 days (7 rotations)
considering log /var/log/shop/api.log

याचा अर्थ: काही बदलत नाही; फक्त सांगतो.

3. आत्ता force आणि तपासा.

sudo logrotate -f /etc/logrotate.d/shop && ls /var/log/shop

Output:

api.log  api.log.1

याचा अर्थ: पुढचा run api.log.2.gz बनवेल.

15. अनेक industries मधली खरी उदाहरणं

हे का लागतं?

तेच Linux skill प्रत्येक प्रकारच्या company मध्ये लागतं. वेगवेगळ्या ठिकाणी पाहिलं की लक्षात राहतं.

हे काय आहे?

प्रत्येक row म्हणजे एक काल्पनिक team. कोण हे वापरतं आणि कसं ते दाखवते.

कसं करायचं (step by step)

16. नेहमीच्या errors आणि त्यांचे fixes

हे का लागतं?

हे errors सगळ्यांना येतात. कारण माहीत असलं की तास वाचतात.

हे काय आहे?

आधी नेमका message वाचा. मग खालच्या row शी जुळवा.

कसं करायचं (step by step)

17. Troubleshooting step by step

हे का लागतं?

हवा log सापडत नसेल तर program कुठे लिहितो ते तपासा, मग filter करा.

हे काय आहे?

वरून खाली जा. ज्या step ला problem दिसतो तिथे थांबा.

कसं करायचं (step by step)

1. systemd service आहे का? Unit logs.

journalctl -u shop-api -n 50 --no-pager

2. ते लिहितं त्या files.

sudo lsof -p $(systemctl show -p MainPID --value shop-api) | grep log

3. Time आणि priority ने कमी.

journalctl --since '1 hour ago' -p warning --no-pager

4. Kernel बाजू.

journalctl -k -p err --no-pager

5. Logs चा disk use.

journalctl --disk-usage; sudo du -sh /var/log

6. Rotation config test.

sudo logrotate -d /etc/logrotate.conf

18. Lab 1: journalctl ने incident तपासा

हे का लागतं?

logger ने log lines बनवा, मग tag, priority आणि time ने शोधा, आणि JSON print.

हे काय आहे?

पूर्ण hands-on lab. प्रत्येक step test Linux machine वर करा (EC2 instance, VM किंवा WSL).

कसं करायचं (step by step)

1. काही lines बनवा.

for i in 1 2 3; do logger -t lab -p user.info "order $i ok"; done; logger -t lab -p user.err 'payment gateway timeout'

Output:

(no output)

2. Tag ने.

journalctl -t lab --no-pager -o cat

Output:

order 1 ok
order 2 ok
order 3 ok
payment gateway timeout

3. फक्त errors.

journalctl -t lab -p err --no-pager -o cat

Output:

payment gateway timeout

4. शेवटची 10 minutes.

journalctl -t lab --since '10 min ago' --no-pager | wc -l

Output:

4

5. JSON fields.

journalctl -t lab -p err -o json-pretty --no-pager | grep -E 'PRIORITY|MESSAGE'

Output:

	"PRIORITY" : "3",
	"MESSAGE" : "payment gateway timeout",

19. Lab 2: rsyslog आणि logrotate ने app ची स्वतःची log file

हे का लागतं?

local1 ला /var/log/lab.log मधे पाठवा आणि रोज rotate, 3 copies.

हे काय आहे?

पूर्ण hands-on lab. प्रत्येक step test Linux machine वर करा (EC2 instance, VM किंवा WSL).

कसं करायचं (step by step)

1. rsyslog rule.

echo 'local1.* /var/log/lab.log' | sudo tee /etc/rsyslog.d/40-lab.conf && sudo rsyslogd -N1 && sudo systemctl restart rsyslog

Output:

rsyslogd: End of config validation run. Bye.

2. लिहा आणि वाचा.

logger -p local1.info 'lab line' && sudo tail -n1 /var/log/lab.log

Output:

Oct 25 12:40:00 web1 ec2-user: lab line

3. Rotate rule.

printf '/var/log/lab.log {\n daily\n rotate 3\n compress\n missingok\n notifempty\n}\n' | sudo tee /etc/logrotate.d/lab

Output:

/var/log/lab.log {

4. Force आणि बघा.

sudo logrotate -f /etc/logrotate.d/lab && ls /var/log/lab.log*

Output:

/var/log/lab.log.1.gz

5. साफ.

sudo rm /etc/rsyslog.d/40-lab.conf /etc/logrotate.d/lab && sudo systemctl restart rsyslog

Output:

(no output)

20. नेहमी विचारले जाणारे प्रश्न

21. मुलाखत प्रश्न आणि उत्तरं

Beginner level

Mid level level

Senior level

22. संबंधित chapters

• DevOps साठी Linux Ops Refresh
• Automation साठी Bash Scripting
• Linux grep आणि find Commands Examples सह
• Linux Servers मध्ये Passwordless SSH

उजळणी, तुलना आणि मुलाखत cards

हा lesson काही मिनिटांत revise करा. Cards phone वर save करा किंवा PNG download करा. प्रत्येक card वरचा QR हा lesson उघडतो.

अजून cards: Ravi Sir's Cards.