tail -fコマンドでログをリアルタイムに監視する方法｜grepフィルタやローテーション対策も

「ログファイルをリアルタイムで監視したいけど、どうやって確認すればいいのか分からない」

Linuxサーバーで障害やエラーが発生したとき、ログファイルをリアルタイムに追跡できるかどうかで、原因特定のスピードが大きく変わります。catコマンドで毎回ファイルを開き直しているようでは、刻々と書き込まれるログを追いかけることはできません。

この記事では、tail -fコマンドによるリアルタイムログ監視の基本から、複数ファイルの同時監視、grepとの組み合わせによるフィルタリング、さらにログが流れない時のトラブルシュートまで、現場で使える実践テクニックを解説します。

tail -fとは？ ログをリアルタイムで追跡する仕組み

tailコマンドは、ファイルの末尾を表示するコマンドです。ここに-fオプション（follow）を付けると、ファイルの末尾を表示した後も終了せず、新しく追記された内容をリアルタイムで画面に出力し続けます。

仕組みとしては、tailがファイルの末尾を監視し続け、書き込みが行われるたびに追加分を表示するという動作です。syslogやrsyslog、journaldなどのログデーモンがファイルに1行書き込むたびに、その内容が即座に画面に表示されます。

ログ監視を終了するにはCtrl+Cを押してください。Linuxに慣れていない方がよくやるのがCtrl+Zで停止してしまうケースですが、これはプロセスを一時停止しただけでバックグラウンドに残り続けるため、必ずCtrl+Cで終了してください。

基本的な使い方

1. /var/log/messagesをリアルタイムで監視する

もっとも基本的な使い方です。システムの汎用ログファイルである/var/log/messagesをリアルタイムで監視します。
実行すると、まずファイル末尾の10行が表示され、その後は新しいログが書き込まれるたびに画面に追加されていきます。

※ /var/log/messages はroot権限でないと読めない場合が多いため、sudoを付けて実行してください。

2. 表示行数を指定して監視を開始する

デフォルトでは末尾10行から表示が始まりますが、-nオプションで表示開始行数を変更できます。
障害対応で「今この瞬間から」のログだけを見たい場合は-n 0が便利です。過去のログを遡りたい場合は-n 100のように大きめの数字を指定してください。

3. Webサーバーのアクセスログを監視する

Apache HTTP ServerやNginxのアクセスログ・エラーログの監視は、サーバー運用でもっとも頻繁に行う作業のひとつです。
リリース直後のアクセス状況の確認や、特定のエラーが発生しているかどうかの調査に使えます。

実務で使うtail -fの応用テクニック

1. grepと組み合わせて特定のログだけ表示する

ログファイルには大量の情報が流れてきます。特定のキーワードに絞って監視したい場合は、パイプでgrepに渡します。
grep -iを使うと大文字・小文字を区別せずにマッチするため、ERRORもerrorもErrorも拾えます。障害対応時はgrep -i "error\|fail\|denied"のように複数キーワードをまとめて指定すると効率的です。

2. 複数のログファイルを同時に監視する

tail -fはファイルを複数指定することで、同時に監視できます。
ファイル間で切り替わるたびに==> ファイル名 <==というヘッダーが表示されるため、どのファイルのログかが一目で判別できます。

3. tail -Fでログローテーション後も追跡を続ける

ログファイルは定期的にローテーション（logrotateによるファイル切り替え）が行われます。tail -fは元のファイル記述子（inode）を追跡するため、ローテーション後の新しいファイルを自動追跡しません。

-Fオプション（大文字）を使うと、ファイル名を基準に追跡するため、ログローテーションが発生しても新しいファイルに自動で切り替わります。
長時間のログ監視や、cronで定期実行する監視スクリプトでは、-fではなく-Fを使うのが実務の鉄則です。

4. lessの+Fモードでログを前後にスクロールする

tail -fはリアルタイム監視に特化していますが、「少し前のログに戻りたい」という場面では不便です。そんなときはless +Fを使ってください。
・リアルタイム監視中：tail -fと同じ動作でログが流れる
・Ctrl+Cを押す：通常のlessモードに切り替わり、上下スクロールや検索（/キーワード）ができる
・Shift+Fを押す：再びリアルタイム監視モードに戻る

障害対応中に「あのエラーメッセージ、何行か前に見えた気がする」というとき、tail -fでは戻れませんが、less +Fなら一時停止して確認できます。

主要なログファイルの一覧と用途

tail -fで監視するにも、どのログファイルに何が記録されているかを知らなければ始まりません。主要なログファイルを把握しておきましょう。

ログファイル	記録される内容
/var/log/messages	システム全般の汎用ログ（カーネル、デーモン、サービスの起動停止など）
/var/log/secure	認証関連（SSH、sudo、suなどのログイン・認証成功/失敗）
/var/log/cron	cronジョブの実行記録
/var/log/maillog	メール送受信の記録（Postfix、Sendmailなど）
/var/log/httpd/access_log	Apache HTTP Serverのアクセスログ
/var/log/httpd/error_log	Apache HTTP Serverのエラーログ
/var/log/nginx/access.log	Nginxのアクセスログ
/var/log/boot.log	OS起動時のサービス起動ログ
/var/log/dmesg	カーネルメッセージ（ハードウェア認識、ドライバ読み込みなど）

ディストリビューションによっては/var/log/messagesの代わりに/var/log/syslogが使われます（Ubuntu/Debianなど）。自分の環境のログ構成はls -la /var/log/で確認してください。

「tail -fでログが流れない」時のトラブルシュート

1. ログファイルへの書き込みが止まっている

tail -fは「ファイルに追記があれば表示する」という仕組みのため、そもそもログが書き込まれていなければ何も表示されません。
rsyslog（またはsyslog-ng）が停止していると、/var/log/messages等への書き込みが行われません。まずログデーモンの稼働状態を確認してください。

2. ログローテーションでファイルが切り替わった

tail -f（小文字f）はinodeを追跡するため、logrotateでファイルが切り替わると、古いファイル（リネームされたファイル）を見続けてしまいます。
対策は前述のとおり、tail -F（大文字F）を使うことです。長時間監視する場合は常に-Fを使う習慣をつけてください。

3. パーミッション不足で読み取れない

ログファイルのパーミッションによっては、一般ユーザーでは読み取れない場合があります。
/var/log/secureや/var/log/cronなどはroot所有でパーミッションが600（rw-------）に設定されていることが多いため、sudoを付けて実行してください。

4. journaldのみでファイル出力されていない

CentOS 7以降やRHEL 8以降では、systemd-journaldがログを管理しています。rsyslogが併用されていない環境では、/var/log/messagesにログが出力されないことがあります。
journalctl -fはtail -f /var/log/messagesの代替として使えます。systemdを採用しているディストリビューションでは、journalctlも併せて覚えておくと対応の幅が広がります。

本記事のまとめ

tail -fによるリアルタイムログ監視は、Linuxサーバー運用の基本中の基本です。ここで紹介した内容を一覧にまとめます。

やりたいこと	コマンド
ログをリアルタイムで監視する	sudo tail -f /var/log/messages
末尾N行から監視を開始する	sudo tail -n 30 -f /var/log/messages
特定キーワードだけ監視する	sudo tail -f /var/log/messages | grep -i "error"
複数ファイルを同時に監視する	sudo tail -f /var/log/messages /var/log/secure
ログローテーション後も追跡する	sudo tail -F /var/log/messages
前後スクロールしながら監視する	sudo less +F /var/log/messages
journaldでリアルタイム監視する	sudo journalctl -f
特定サービスのログだけ監視する	sudo journalctl -u sshd -f