Linuxのログファイル入門｜tailとlessでサーバーの状態を読む方法

この記事のポイント

・Linuxのログは /var/log/ ディレクトリに集約されている
・tail -f で「リアルタイムにログを流す」のが現場の基本技
・less でページ送り＋検索をしながらじっくり読む
・grep と組み合わせてエラーだけを抽出する方法も覚えよう

# /var/log/ の中身を確認する
$ ls /var/log/
anaconda     cron         maillog      secure       yum.log
audit        dmesg        messages     spooler
boot.log     lastlog      ntpstats     tallylog

# OSの種類を確認する
$ cat /etc/os-release
NAME="Rocky Linux"
VERSION="9.4 (Blue Onyx)"
...

# または
$ cat /etc/redhat-release
Rocky Linux release 9.4 (Blue Onyx)

# ファイルの末尾10行を表示する（デフォルト）
$ sudo tail /var/log/messages
Apr 27 09:01:22 web01 kernel: eth0: renamed from veth3a4b5c6d
Apr 27 09:01:22 web01 NetworkManager[1234]:   [1714176082] device (eth0): state change
Apr 27 09:02:00 web01 systemd[1]: Started Session 5 of user tomohiro.
...

# 末尾30行を表示したい場合
$ sudo tail -n 30 /var/log/messages

# リアルタイムでログを監視する（Ctrl+C で終了）
$ sudo tail -f /var/log/messages
Apr 27 09:15:01 web01 CROND[5678]: (root) CMD (/usr/lib64/sa/sa1 1 1)
Apr 27 09:20:01 web01 CROND[5679]: (root) CMD (/usr/lib64/sa/sa1 1 1)
# ここで新しいログが書き込まれると自動で表示される

# lessでログを開く
$ sudo less /var/log/messages

# lessを開いたら以下のキー操作が使える
# スペース or f  : 1ページ進む
# b              : 1ページ戻る
# G              : ファイルの末尾に移動
# g              : ファイルの先頭に移動
# /キーワード    : 下方向に検索（n で次の一致、N で前の一致）
# q              : 終了

# lessで末尾から開く（+G = ファイル末尾にジャンプ）
$ sudo less +G /var/log/messages

# "error" を含む行を表示する（大文字小文字を区別）
$ sudo grep error /var/log/messages

# 大文字小文字を区別しない（-i）
$ sudo grep -i error /var/log/messages
Apr 27 08:03:41 web01 kernel: [12345.678901] ata1.00: status: { DRDY ERR }
Apr 27 08:03:41 web01 kernel: [12345.678902] ata1.00: error: { UNC }

# 前後の行も表示して文脈を把握する（-C 3 = 前後3行）
$ sudo grep -i -C 3 error /var/log/messages

# 特定の時刻帯（09時台）のログを抽出する
$ sudo grep "Apr 27 09:" /var/log/messages

# パイプでエラーもあわせて絞り込む
$ sudo grep "Apr 27 09:" /var/log/messages | grep -i error

# 全ログを表示（lessで自動ページ送り）
$ sudo journalctl

# 末尾50行を表示
$ sudo journalctl -n 50

# リアルタイム監視（tail -f と同じ感覚）
$ sudo journalctl -f

# 特定のサービスのログだけ確認（例: nginx）
$ sudo journalctl -u nginx

# 今日のログだけ確認
$ sudo journalctl --since today

# エラーレベル以上のみ表示
$ sudo journalctl -p err

# Step 1: サービスの状態を確認する
$ sudo systemctl status httpd
* httpd.service - The Apache HTTP Server
     Loaded: loaded (/usr/lib/systemd/system/httpd.service)
     Active: failed (Result: exit-code) since Sun 2026-04-27 09:30:01 JST
    Process: 12345 ExecStart=/usr/sbin/httpd $OPTIONS -DFOREGROUND (code=exited)
   Main PID: 12345 (code=exited, status=1/FAILURE)

# Step 2: journalctl でエラー詳細を確認する
$ sudo journalctl -u httpd -n 30
Apr 27 09:30:01 web01 httpd[12345]: AH00526: Syntax error on line 45 of /etc/httpd/conf/httpd.conf:
Apr 27 09:30:01 web01 httpd[12345]: Invalid command 'ServerNmae', perhaps misspelled

# → 設定ファイルの45行目に「ServerName」のタイポがあることがわかる

# RHEL系: secureログで認証失敗を確認
$ sudo grep "Failed password" /var/log/secure | tail -20
Apr 27 09:10:34 web01 sshd[6789]: Failed password for invalid user admin from 192.0.2.100 port 51234 ssh2
Apr 27 09:10:36 web01 sshd[6790]: Failed password for root from 192.0.2.100 port 51235 ssh2

# Ubuntu系: auth.logで確認
$ sudo grep "Failed password" /var/log/auth.log | tail -20

# 攻撃元IPアドレスの集計（何回アクセスされているか）
$ sudo grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn | head -10
    142 192.0.2.100
     38 198.51.100.200