Dépannage avec `journalctl`

1. Qu'est-ce que journalctl et pourquoi est-ce si important ?

Chaque système Linux moderne enregistre en permanence des milliers d'événements : un utilisateur qui se connecte, un service qui démarre, une erreur qui survient, etc. Ces enregistrements sont appelés les journaux (ou logs en anglais). Ils sont la "boîte noire" de votre système.

Autrefois, ces journaux étaient stockés dans divers fichiers texte (/var/log/messages, /var/log/auth.log, etc.). Aujourd'hui, la plupart des distributions Linux utilisent systemd, qui centralise tous ces événements dans une base de données structurée, appelée le Journal. L'outil pour interroger cette base de données est journalctl.

Pour bien comprendre les fondements de cet outil, je vous propose de lire une courte introduction.

Maintenant que vous avez une idée de ce qu'est le Journal, ouvrez le terminal de votre machine virtuelle Ubuntu et tapez simplement :

journalctl

Vous verrez des centaines, voire des milliers de lignes défiler. C'est l'intégralité des journaux depuis l'installation ! C'est impressionnant, mais inutilisable en l'état. La vraie puissance de journalctl réside dans sa capacité à filtrer cette masse d'informations pour trouver exactement ce que l'on cherche.

2. Les filtres essentiels pour une enquête efficace

Nous allons maintenant explorer les options de filtrage les plus courantes. Pour chaque option, je vous encouragerai à la tester immédiatement sur votre machine virtuelle. La vidéo suivante, d'Adrien Linuxtricks, sera notre guide principal pour voir ces commandes en action.

A. Suivre les événements en direct (-f)

Parfois, vous voulez voir les journaux se créer sous vos yeux, par exemple lorsque vous redémarrez un service pour voir s'il génère des erreurs. L'option -f (pour follow) sert à cela.

À essayer : Lancez journalctl -f dans votre terminal. Laissez-le tourner. Ouvrez un second terminal (vous pouvez le faire dans VirtualBox via "Machine" > "Prendre un instantané", puis redémarrer la VM si vous n'êtes pas à l'aise, ou simplement vous reconnecter via une nouvelle session SSH), et tapez sudo systemctl restart ssh. Vous devriez voir apparaître de nouvelles lignes concernant le redémarrage du service SSH dans le premier terminal. Appuyez sur Ctrl+C pour arrêter le suivi.

B. Isoler un service spécifique (-u)

C'est probablement le filtre que vous utiliserez le plus. Si vous pensez qu'un problème vient du service SSH, vous n'avez pas besoin de voir les journaux du service d'impression. L'option -u (pour unit) vous permet de vous concentrer sur un seul service.

À essayer : Tapez journalctl -u sshd. Vous ne verrez que les événements liés au service SSH de votre machine. C'est déjà beaucoup plus clair !

C. Voyager dans le temps (--since et --until)

Si un problème a été signalé "hier après-midi", vous pouvez directement demander à journalctl de vous montrer les journaux de cette période.

À essayer :

• Pour voir les journaux d'aujourd'hui : journalctl --since "today"
• Pour voir les journaux depuis hier : journalctl --since "yesterday"
• Pour voir les journaux de la dernière heure : journalctl --since "1 hour ago"
• Combinez avec le filtre de service : journalctl -u sshd --since "yesterday"

D. Se concentrer sur les problèmes (-p)

Les journaux contiennent beaucoup de messages purement informatifs. Pour aller droit au but, vous pouvez demander à journalctl de ne vous montrer que les messages importants, comme les erreurs (error), les avertissements (warning), etc.

À essayer : Comparez la sortie de journalctl -u sshd avec journalctl -u sshd -p err. La seconde commande devrait afficher beaucoup moins de lignes, voire aucune si votre service SSH n'a rencontré aucune erreur.

3. Mise en pratique : Enquête sur une tentative de connexion suspecte

Il est temps de mettre votre casquette de détective. Nous allons simuler un incident de sécurité de base (une tentative de connexion avec un mauvais mot de passe) et utiliser nos nouvelles compétences pour le retrouver dans les journaux.

Dans cet exercice, vous avez découvert un duo très puissant : journalctl | grep.

• Le | (appelé "pipe" ou "tube") est un mécanisme fondamental de la ligne de commande. Il prend la sortie de la commande à sa gauche et l'utilise comme entrée pour la commande à sa droite.
• grep est un outil qui filtre du texte et n'affiche que les lignes contenant un certain mot ou une expression.

Donc, la commande journalctl -u ssh | grep "Failed password" signifie : "Prends tous les journaux du service SSH, puis passe-les à grep pour qu'il ne me montre que les lignes contenant 'Failed password'". C'est une technique extrêmement courante pour affiner vos recherches.

Conclusion

Félicitations ! Vous venez d'acquérir une compétence fondamentale pour tout administrateur système. Vous n'êtes plus limité à l'observation en temps réel ; vous pouvez désormais enquêter sur des événements passés en interrogeant les journaux de manière structurée et efficace.

Points clés à retenir :

• journalctl est l'outil standard pour consulter les journaux sur les systèmes Linux modernes.
• La puissance de journalctl réside dans ses options de filtrage.
• Les filtres les plus importants sont :
  • -u pour isoler un service.
  • --since et --until pour sélectionner une période.
  • -p pour ne voir que les messages d'une certaine priorité (ex: les erreurs).
  • -f pour suivre les journaux en temps réel.
• La combinaison de journalctl avec grep via un pipe (|) permet d'effectuer des recherches textuelles très précises au sein des journaux filtrés.
• La méthodologie d'enquête est souvent la même : on commence par filtrer par service (-u) et par période (--since), puis on affine en cherchant des erreurs (-p) ou des mots-clés (grep).

Dans la prochaine leçon, nous aborderons un autre type de problème très fréquent : les pannes de réseau. Alors que journalctl est excellent pour les problèmes de services, les soucis de connectivité demandent leur propre panoplie d'outils. Nous apprendrons à diagnostiquer et résoudre des problèmes de connectivité réseau courants avec des commandes comme ping et traceroute.