Linux / Comando journalctl: consultar registros por servicio, arranque y hora
journalctl busca y lee los registros del sistema y de los servicios almacenados en el journal de systemd. Puede restringir el alcance a errores recientes de una unidad específica o a los mensajes del arranque actual.
Sin argumentos se muestran, por orden cronológico, las entradas accesibles del journal. -u filtra por unidad, -b por arranque y -p por prioridad. El alcance depende de los permisos del usuario. Si se abre un paginador, salga con q; en seguimiento con -f, use Ctrl+C.
Sintaxis básica
journalctl [opciones] [filtro]La implementación instalada y las opciones pueden variar según la distribución. Verifique la descripción de man journalctl en el sistema actual.
Ejemplos de uso
Ver errores del arranque actual
Examina los mensajes de nivel de error o superior del arranque actual.
journalctl -b -p errVer registros de servicios
Sustituya sshd.service por la unidad real. En algunas distribuciones se utiliza ssh.service; compruebe las unidades instaladas, por ejemplo con systemctl list-unit-files 'ssh*'. -n 100 selecciona las últimas 100 entradas, que pueden ocupar más de 100 líneas.
journalctl -u sshd.service -n 100Seguir registros de servicios
Muestra los nuevos registros cada vez que se imprimen. Se termina con Ctrl+C.
journalctl -u sshd.service -fConsultar las últimas entradas de una unidad
journalctl busca registros recopilados en el journal de systemd según condiciones. A continuación se muestran los tres elementos más recientes de un servicio específico sin paginación.
journalctl -u sshd.service -n 3 --no-pagerEjemplo de una entrada; la hora, el equipo y el mensaje dependen del sistema:
Sep 28 09:00:00 web01 sshd[1234]: Server listening on 0.0.0.0 port 22.-u restringe el alcance a una unidad y -n limita el número de entradas. Debido a permisos, es posible que no se vean los registros de otros usuarios. Para investigar un arranque anterior, use -b -1, pero en sistemas donde el journal no se guarda de manera permanente, puede que no haya registros de arranques previos.
Para restringir el rango de tiempo, use --since '2026-09-28 09:00' o --until. Considere la diferencia entre la zona horaria del sistema y la hora en que se registraron los logs, y mire tanto justo antes como justo después de que ocurra un problema para distinguir entre la causa y los errores posteriores. Dado que los registros pueden contener tokens o información del usuario, cubra los valores sensibles antes de compartirlos.
Opciones y formatos principales
| Opción o formato | Descripción |
|---|---|
-u unidad |
Limita a los registros de la unidad especificada. |
-b |
Selecciona los registros del arranque actual. |
-n N |
Muestra solo los N elementos más recientes. |
-f |
Se siguen mostrando los nuevos registros. |
-p prioridad |
Selecciona los mensajes con una importancia superior o igual a la especificada. |
--since hora |
Selecciona los registros a partir del momento especificado. |
Precauciones al usar
Los registros pueden contener información sensible como datos de usuario, rutas y tokens, por lo que debe verificarse antes de compartir. Los registros de arranque anteriores pueden no estar disponibles si no se ha configurado el almacenamiento permanente del diario. --vacuum-* elimina registros archivados, por lo que no debe usarse solo para la visualización.
Preguntas frecuentes
¿Por qué no se ven los registros de arranque anteriores?
El diario puede no estar almacenado de forma permanente o haberse rotado/eliminado ya. Verifique desde los arranques conservados con journalctl --list-boots.
Documentación oficial
Se puede consultar el funcionamiento exacto de las opciones y las diferencias según la implementación en la documentación oficial de journalctl.
