Đọc log VPS với journalctl: tìm lỗi và giữ bằng chứng

Log giúp xác định dịch vụ lỗi ở thời điểm nào và sự kiện nào xảy ra trước đó. Với VPS dùng systemd, journalctl là công cụ hữu ích, nhưng vẫn có ứng dụng ghi file riêng hoặc log trong container. Cần biết nguồn log thay vì mặc định mọi thứ nằm trong journal.

Bắt đầu bằng mốc thời gian

timedatectl status
journalctl --list-boots
sudo journalctl -b -n 100 --no-pager

Ghi múi giờ khi đối chiếu client, proxy và database. -b trong ví dụ xem boot hiện tại; khả năng xem boot cũ phụ thuộc log có được lưu bền vững hay không. Log trống của một lần boot trước không tự chứng minh lần đó không có sự kiện.

Lọc theo khoảng xảy ra lỗi

sudo journalctl --since "2026-10-06 08:00:00" --until "2026-10-06 08:30:00" --no-pager

Ngày giờ là minh họa; thay bằng khoảng thực tế theo múi giờ hệ thống. Bắt đầu khoảng hẹp để tránh output quá lớn, sau đó mở rộng trước/sau lỗi. Giữ timestamp đầy đủ khi xuất log cho nhóm xử lý.

Lọc theo service và kernel

systemctl --failed
sudo journalctl -u nginx.service --since '1 hour ago' --no-pager
sudo journalctl -k -b --no-pager

Thay nginx.service bằng unit có thật. SSH có thể dùng tên unit khác giữa distro; kiểm tra trước. journalctl -k giúp xem thông điệp kernel như lỗi thiết bị hoặc OOM khi chúng được ghi; cần đối chiếu thêm log ứng dụng.

Theo dõi live trong lúc thử

sudo journalctl -u nginx.service -f

Thoát theo dõi bằng Ctrl+C. Tránh để nhiều phiên xuất log vô hạn khi sự cố tạo lượng lớn sự kiện. Với Nginx, access/error log có thể nằm ở file cấu hình riêng; service journal không thay toàn bộ log request.

Đối chiếu, không kết luận từ một dòng

Một lỗi timeout có thể là hậu quả của database, không phải nguyên nhân ở proxy. Lập timeline: tải tăng, queue, restart, truy vấn lỗi và response client. Ghép request ID khi ứng dụng có hỗ trợ, nhưng che thông tin định danh không cần thiết khi chia sẻ.

Đăng nhập lỗi có thể là quét tự động; đăng nhập thành công từ IP lạ cần điều tra nhưng IP không đủ xác định người dùng. Xem tài khoản, phương thức xác thực và hoạt động tiếp theo trước khi kết luận bị xâm nhập.

Retention và dung lượng

journalctl --disk-usage
df -h

Cấu hình retention theo nhu cầu vận hành và dung lượng. Không vacuum/xóa log lúc đang điều tra chỉ để giảm disk usage mà chưa giữ bản cần thiết. Log tập trung ngoài host giúp giảm phụ thuộc máy bị mất hoặc bị chỉnh log.

Quyền đọc log có thể cho thấy dữ liệu người dùng, token hoặc nội dung request. Chỉ cấp cho người cần, kiểm soát thời gian lưu và sửa ứng dụng nếu nó ghi secret. Bản log đã lọt ra ngoài cần xử lý secret liên quan.

Checklist gửi hỗ trợ

1. Mô tả thời điểm, múi giờ và ảnh hưởng.
2. Gửi phiên bản/service liên quan.
3. Trích khoảng log cần thiết trước và sau lỗi.
4. Che token, password, session và dữ liệu riêng.
5. Ghi các thay đổi đã thực hiện.
6. Giữ bản gốc trong nơi có quyền kiểm soát.

Khi thuê VPS, log guest OS là dữ liệu bổ trợ cho việc kiểm tra host/network. Hỏi rõ phạm vi hỗ trợ và không gửi toàn bộ dump nếu chỉ cần một khoảng log.