在Linux系统中，日志是记录系统运行状态、服务异常、用户操作的核心载体，实时日志监控能够帮助运维人员第一时间发现服务异常、定位故障原因，是日常运维的必备技能。Linux本身提供了多种原生工具可以实现不同维度的实时日志监控，不需要额外安装复杂组件就能快速上手。
基础方案：使用tail命令实现实时日志查看
tail是Linux系统自带的文件查看命令，通过-f参数可以持续跟踪文件末尾的内容变化，是最简单的实时日志监控方式，适合临时查看单个日志文件的最新内容。
常用命令示例
查看系统通用日志/var/log/syslog的实时更新：
# 跟踪系统日志文件，新内容会实时输出到终端 tail -f /var/log/syslog
如果需要同时监控多个日志文件，可以在命令后追加文件路径：
# 同时监控系统日志和Nginx访问日志 tail -f /var/log/syslog /var/log/nginx/access.log
如果想要显示日志文件的最后20行再开始跟踪，可以结合-n参数：
# 先显示最后20行，再实时跟踪新内容 tail -n 20 -f /var/log/nginx/error.log
tail命令的优缺点
- 优点：无需额外安装软件，命令简单，适合临时排查单个或少量日志文件的问题
- 缺点：只能监控本地已存在的文件，不支持过滤、远程日志采集，终端关闭后监控就会停止
进阶方案：基于rsyslog配置实时日志转发
rsyslog是Linux系统默认的日志服务，支持日志的采集、过滤、转发，通过配置可以实现日志的实时转发到指定终端或者其他服务器，适合需要集中处理日志的场景。
配置本地实时日志输出
编辑rsyslog配置文件/etc/rsyslog.conf，添加如下规则：
# 将所有级别为info及以上的日志实时输出到指定文件 *.info /var/log/realtime.log # 重启rsyslog服务使配置生效 systemctl restart rsyslog
之后使用tail命令跟踪/var/log/realtime.log就可以看到所有info级别以上的日志实时更新。
配置远程日志实时转发
如果需要把日志实时转发到其他服务器做统一监控，可以在rsyslog配置中添加转发规则：
# 将本地所有日志实时转发到192.168.0.1的514端口（rsyslog默认端口） *.* @@192.168.0.1:514
systemd环境：使用journalctl监控服务实时日志
如果Linux系统使用systemd作为初始化系统，journalctl是管理systemd日志的工具，支持按服务、时间、优先级等维度过滤日志，还能实时跟踪指定服务的日志输出。
常用实时监控命令
查看指定服务的实时日志，比如查看nginx服务的实时日志：
# -u 指定服务名，-f 开启实时跟踪 journalctl -u nginx -f
查看指定优先级的实时日志，比如只查看错误级别的日志：
# -p 指定优先级，err表示错误级别 journalctl -p err -f
查看指定时间之后的实时日志：
# 查看1小时内的实时日志 journalctl --since "1 hour ago" -f
不同方案的选择建议
| 监控场景 | 推荐方案 |
|---|---|
| 临时查看单个日志文件 | tail命令 |
| 需要过滤、转发本地日志 | rsyslog配置 |
| 监控systemd管理的服务日志 | journalctl命令 |
| 需要长期后台运行监控 | 结合nohup或者screen运行tail命令，或者使用rsyslog转发到日志服务器 |
实际使用中可以根据需求组合不同的方案，比如临时排查用tail，长期监控用rsyslog转发到集中日志平台，服务相关的问题优先用journalctl定位，能够大幅提升日志排查的效率。
Linux日志监控tail命令rsyslogsystemd_journal修改时间：2026-06-21 03:45:28