Cómo monitorizar recursos de hardware del sistema: Parte V – Logs

Introducción

Hola Fronters 👋

Bienvenidos a la quinta entrega de nuestra serie sobre monitorización de recursos de hardware en Linux. Hasta ahora hemos cubierto CPU, memoria RAM, red, disco y rendimiento general. Pero hay una fuente de información que ningún sysadmin puede ignorar: los logs del sistema.

Los logs son el diario de a bordo de tu servidor. Cada proceso, cada servicio, cada intento de conexión, cada error y cada advertencia quedan registrados en algún lado. Saber leerlos, filtrarlos y configurarlos es lo que separa a un administrador reactivo de uno proactivo.

En este artículo vamos a profundizar en journalctl, los archivos clásicos de /var/log/, dmesg, logrotate, rsyslog, logwatch y cómo analizar logs de autenticación, sistema y kernel.

1. systemd-journald y journalctl

En las distribuciones modernas con systemd, el sistema de logs por defecto es journald. Toda la información estructurada de servicios, kernel y aplicaciones se almacena en el journal binario.

Comandos básicos de journalctl

# Ver todos los logs desde el arranque actual
journalctl -b

# Ver logs de un servicio específico
journalctl -u nginx.service

# Ver logs en tiempo real (como tail -f)
journalctl -f

# Últimos 50 mensajes
journalctl -n 50

# Logs de las últimas 2 horas
journalctl --since "2 hours ago"

# Logs de un rango de fechas
journalctl --since "2025-05-01" --until "2025-05-15"

# Logs por prioridad (0=emerg, 1=alert, 2=crit, 3=err)
journalctl -p err -b

# Ver logs en formato JSON (ideal para parsing)
journalctl -o json-pretty

# Logs de un PID específico
journalctl _PID=1234

Configuración de journald

El archivo de configuración principal es /etc/systemd/journald.conf. Algunos parámetros clave:

[Journal]
Storage=persistent        # Guarda logs en disco, no solo en RAM
Compress=yes              # Comprime logs antiguos
SystemMaxUse=500M         # Máximo espacio en disco para logs
SystemMaxFileSize=100M    # Tamaño máximo por archivo
MaxRetentionSec=2week     # Retención máxima de 2 semanas

Después de modificar: sudo systemctl restart systemd-journald

2. Los archivos clásicos de /var/log/

Aunque systemd es el estándar moderno, los archivos de texto plano en /var/log/ siguen siendo fundamentales, especialmente en servidores sin systemd o con configuraciones híbridas.

# Log de autenticación (inicios de sesión, sudo, SSH)
/var/log/auth.log      # Debian/Ubuntu
/var/log/secure        # RHEL/CentOS

# Log del sistema (general)
/var/log/syslog        # Debian/Ubuntu
/var/log/messages      # RHEL/CentOS

# Log del kernel
/var/log/kern.log

# Logs de aplicaciones
/var/log/apache2/access.log
/var/log/nginx/access.log
/var/log/mysql/error.log

Analizar auth.log como un profesional

# Intentos de SSH fallidos
grep "Failed password" /var/log/auth.log

# Contar intentos fallidos por IP
grep "Failed password" /var/log/auth.log | grep -oP 'from \K[0-9.]+' | sort | uniq -c | sort -rn

# Inicios de sesión exitosos
grep "Accepted password" /var/log/auth.log

# Uso de sudo
grep "sudo" /var/log/auth.log | grep "COMMAND"

# Intentos de su
grep "FAILED SU" /var/log/auth.log

3. dmesg: Los mensajes del kernel

dmesg muestra los mensajes del buffer del kernel, ideal para diagnosticar problemas de hardware, drivers, discos y dispositivos USB.

# Ver todos los mensajes del kernel
dmesg

# Seguir mensajes en tiempo real
dmesg -w

# Filtrar por nivel de severidad
dmesg --level=err,warn

# Buscar errores de disco
dmesg | grep -i "error\|fail\|disk"

# Buscar dispositivos USB
dmesg | grep -i usb

# Ver información de memoria del kernel
dmesg | grep -i memory

# Limpiar el buffer (útil antes de pruebas)
sudo dmesg -c

4. logrotate: Rotación inteligente de logs

Los logs crecen sin control si no los rotamos. logrotate se encarga de comprimir, rotar y eliminar logs antiguos automáticamente.

Configuración global: /etc/logrotate.conf

# Rotación semanal
weekly

# Conservar 4 rotaciones
rotate 4

# Crear nuevo archivo vacío después de rotar
create

# Comprimir rotaciones viejas
compress

# No perder datos si el log está ausente
missingok

Configuraciones por servicio en /etc/logrotate.d/:

# /etc/logrotate.d/nginx
/var/log/nginx/*.log {
    daily
    missingok
    rotate 14
    compress
    delaycompress
    notifempty
    create 640 www-data adm
    sharedscripts
    postrotate
        [ -f /var/run/nginx.pid ] && kill -USR1 `cat /var/run/nginx.pid`
    endscript
}

5. rsyslog: El motor de logs clásico

rsyslog es el servicio tradicional de logging, reemplazado en parte por journald pero aún muy presente. Su configuración está en /etc/rsyslog.conf y /etc/rsyslog.d/.

# Enviar logs de autenticación a un archivo separado
auth,authpriv.*                 /var/log/auth.log

# Enviar todos los logs del sistema a un archivo
*.*;auth,authpriv.none          -/var/log/syslog

# Enviar logs del kernel
kern.*                          -/var/log/kern.log

# Enviar logs críticos por email (requiere mail)
*.emerg                         :omusrmsg:*

Reenviar logs a un servidor central

# En el cliente (/etc/rsyslog.d/remote.conf)
*.* @192.168.1.100:514     # UDP
*.* @@192.168.1.100:514    # TCP

6. logwatch: Reportes automáticos de logs

logwatch analiza los logs y genera reportes resumidos por correo o consola. Ideal para revisión diaria.

# Reporte de todo el día de hoy
logwatch --detail High --range today

# Reporte de ayer
logwatch --detail Med --range yesterday

# Reporte de los últimos 7 días
logwatch --range 'between -7 days and today'

# Filtrar solo servicios SSH
logwatch --service sshd --range today

# Enviar por correo
logwatch --mailto admin@example.com --range today

7. Filtrado avanzado con combinaciones

La verdadera potencia está en combinar herramientas:

# Buscar errores de disco en las últimas 24h
journalctl --since "24 hours ago" -p err | grep -i "disk\|i/o\|ata"

# Correlacionar fecha/hora entre auth.log y kern.log
grep "May 15 14:3[0-9]" /var/log/auth.log | tail -20
dmesg -T | grep "May 15 14:3[0-9]"

# Alertas de recursos desde journalctl
journalctl -p warning -b --no-pager | grep -i "memory\|cpu\|disk"

# Monitorear logs en tiempo real con alertas visuales
journalctl -f | grep --color=always -i "error\|fail\|critical\|oom"

Conclusión

Los logs son la memoria del sistema. Saber leer journalctl, navegar /var/log/, interpretar dmesg, configurar logrotate y rsyslog, y usar logwatch para reportes automáticos te da una ventaja enorme como administrador.

No esperes a que algo falle para revisar los logs. Implementa revisiones periódicas, configura rotaciones y alertas, y conviértete en un sysadmin proactivo.

En el próximo y último artículo de la serie, veremos cómo generar trazabilidad de eventos y detección de posibles problemas, correlacionando todo lo que hemos aprendido. ¡No te lo pierdas! 🚀