Log-Dateien mit KSystemLog betrachten

Protokolle entschlüsseln

von Marcel Hilzinger

---

Protokolldateien auszuwerten, gehört nicht zu den spannendsten Tätigkeiten. Aber auch die unliebsamen Aufgaben müssen einmal erledigt werden -- KSystemLog hilft Ihnen dabei.

---

Linux-Computer sind richtige Arbeitstiere. Während Sie auf Ihrem PC im Internet herumstöbern, Musik hören oder Dokumente schreiben, führt Ihr Rechner ständig Protokoll. Auch wenn Sie gerade nicht vor dem PC sitzen, arbeitet dieser weiter, räumt Datenmüll weg, aktualisiert interne Verzeichnisse und führt wiederum Protokoll.

In den Log-Dateien sammeln sich über die Wochen und Monate zahlreiche Informationen an. Die meisten davon sind für normalsterbliche Benutzer wertlos. Doch einige Details Ihres Rechners sollten Sie unbedingt kennen. KSystemLog hilft Ihnen dabei. Sie finden das Programm auf der Heft-CD. Benutzen Sie Mandrake Linux 10.2, lesen Sie auch den Kasten "KSystemLog startet nicht".

KSystemLog startet nicht

Nach Produktionsschluss der Heft-CD stellte sich heraus, dass das Mandrake-Paket von KSystemLog fehlerhaft ist. Das Programm lässt sich zwar installieren, startet jedoch nicht. Die Redaktion hat deshalb ein neues Paket gebaut. Sie finden es im EasyLinux-Downloadbereich unter http://www.easylinux.de/Download/2005/09/ksystemlog/mdk102/.

Wer, wie, wo, was?

Mit Ausnahme weniger Programme legen sämtliche Anwendungen ihre Protokolldateien im Verzeichnis /var/log ab. Öffnen Sie dieses Verzeichnis im Datei-Manager Konqueror, stellen Sie fest, dass die meisten Dateien mit einem Vorhängeschloss geschützt sind. Da Protokolldateien auch vertrauliche Informationen enthalten können, sind viele Dateien in diesem Verzeichnis nur für den Benutzer root lesbar. Unter Mandrake Linux gilt dies sogar für sämtliche Protokolle (Abbildung 1).

Abb. 1: Nur der Benutzer "root" darf unter Mandrake Linux die Protokolldateien im Verzeichnis "/var/log/" lesen.

Unter Suse Linux finden Sie in /var/log auch komprimierte Dateien. Diese erstellt das Programm logrotate automatisch, wenn eine Log-Datei eine bestimmte Größe überschritten oder ein gewisses Alter erreicht hat. Logrotate komprimiert dann die alte Datei und speichert das Datum im Dateinamen. Hat ein archiviertes Protokoll ein bestimmtes Alter erreicht, löscht Logrotate dieses. Die Protokollsysteme von Mandrake und Suse Linux unterscheiden sich auch in anderen Punkten: Mandrake Linux benutzt den klassischen Syslog-Daemon -- Suse Linux setzt das neuere Syslog-ng ein.

Los geht's

Starten Sie KSystemLog als Benutzer root über [Alt-F2] und die Eingabe von kdesu ksystemlog. Sie können das Programm mit dem Befehl ksystemlog auch als Benutzer starten, dann zeigt es allerdings als Begrüßung gleich eine Fehlermeldung an, da Sie als Benutzer auf die meisten Protokolldateien keinen Zugriff haben.

Nach dem Start als Systemadministrator sehen Sie auf dem Reiter System log das Hauptprotokoll des Systems. Unter Mandrake und Suse Linux ist dies die Datei /var/log/messages. Um eine andere Log-Datei zu betrachten, klicken Sie auf den Menüpunkt Logs und wählen einen Eintrag aus. Eine Übersicht über die einzelnen Einträge gibt die Tabelle "Zentrale Log-Dateien". Möchten Sie mehrere Protokolldateien auf einmal betrachten, öffnen Sie über [Strg-T] einen neuen Reiter und dann das neue Protokoll. KSystemlog aktualisiert den Inhalt der Protokolle fortlaufend. Dies kann stören, wenn Sie eine Datei lesen möchten, die ständig wächst. Ein Klick auf das Stopp-Symbol weist das KDE-Programm an, das Protokoll nicht laufend neu einzulesen.

Da Mandrake und Suse Linux unterschiedliche Protokollsysteme benutzen, zeigt nicht jeder Eintrag etwas an. Der größte Unterschied zwischen den Distributionen liegt darin, dass Suse Linux die meisten Informationen im zentralen System-Log speichert, während Mandrake Linux die einzelnen Details in verschiedenen Protokollen hinterlegt.

Abb. 2: Das Hauptfenster von KSystemlog zeigt drei Protokolldateien an. Über das Eingabefeld "Filter" starten Sie eine Schnellsuche.

Zentrale Log-Dateien
Eintrag	Erklärung
System-Log	Das Hauptprotokoll des Linux-Systems. Erste Quelle bei Problemen jeglicher Art.
X.org-Log	Protokolldatei der grafischen Oberfläche (des X-Servers). Hilft bei Darstellungs- oder 3D-Problemen.
Kernel-Log	Protokolldatei des Kernels.
Systemstart-Log	Protokoll des Systemstarts. Hier können Sie die Meldungen nachlesen, die beim Starten des Rechners über den Bildschirm rasen.
Authentifizierungs-Log	Protokoll der An- und Abmeldevorgänge.
Daemon-Log	Hauptprotokoll verschiedener Dienste.
Log geplanter Aufgaben	Protokolldatei des Cron-Dienstes zum regelmäßigen Ausführen bestimmter Aufgaben.
ACPI-Log	Protokoll des ACPI-Energiesparmodus.
Cups	Protokolldateien des Drucker-Servers und -Clients.

Suchen, kopieren, mailen

Eine der Hauptstärken von KSystemLog ist seine Suchfunktion. Tippen Sie unter Filter einen beliebigen Suchbegriff ein, beschränkt das Programm die Anzeige auf diesen Begriff. Benutzen Sie zum Beispiel externe Festplatten oder Memory-Sticks, öffnen Sie das System-Log und geben als Suchbegriff sda ein. Das Programm zeigt Ihnen dann sämtliche Meldungen an, die mit dem externen Gerät zusammenhängen (Abbildung 2). Möchten Sie mehr über das (Innen-) Leben Ihrer Netzwerkkarte erfahren, geben Sie eth ein und so weiter. Als Suchbegriff wählen Sie -- sofern bekannt -- die Linux-Gerätebezeichnung.

Haben Sie Meldungen gefunden, die etwas mit dem Thema zu tun haben, markieren Sie diese mit [Strg-A] und kopieren sie anschließend über [Strg-C] in die Zwischenablage. Von hier fügen Sie die Inhalte zum Beispiel in KMail ein, um einem Bekannten per E-Mail eine Frage zu stellen.

Manche Log-Einträge setzt das Programm aus verschiedenen Dateien zusammen. Bei anderen Protokollen erkennt KSystemLog, wie schwerwiegend ein Eintrag ist. Es kennzeichnet dann die Bedeutung mit einem Symbol. Gewöhnliche Einträge markiert ein weißes "i" in einem blauen Kreis. Bei Warnungen zeigt das Programm ein gelbes Dreieck mit Ausrufezeichen an. Schwerwiegende Fehler kennzeichnet KSystemLog mit einem rot-weißen Symbol.

Öffnen Sie zum Beispiel das Kernel-Log und klicken mit der rechten Maustaste auf einen Eintrag, finden Sie im Kontextmenü den Punkt Group by. Dieser gruppiert die Log-Einträge wahlweise nach Datei, Bedeutung, Tag oder Stunde. Bei akuten Problemen mit dem System wählen Sie über das Kontextmenü zum Beispiel Group by / Log Level und suchen dann die Einträge, die als schwerwiegende Fehler markiert sind.

Spektrum erweitern

Während KSystemLog die Protokolldateien von Mandrake Linux nahezu perfekt auswertet, weiß das Programm unter Suse Linux nur mit dem Systemprotokoll, der Log-Datei der grafischen Oberfläche und dem ACPI-Log etwas anzufangen. Mit einigen Anpassungen liest das Programm aber auch andere Dateien:

1. Wählen Sie Einstellungen / KSystemLog einrichten und klicken Sie auf Systemlog.

2. Klicken Sie auf Datei hinzufügen und wählen Sie die Datei /var/log/warn aus.

3. Markieren Sie den neuen Eintrag und klicken Sie auf Einstufung ändern.

4. Wählen Sie den Eintrag Warnung und klicken Sie auf OK. Das System-Log wertet nun zwei Dateien aus (Abbildung 3).

Nach einem Klick auf OK liest KSystemLog das Protokoll neu ein und zeigt auch die neue Datei an.

Abb. 3: Welche Dateien KSystemLog auswertet, bestimmen Sie selbst. Sie können auch die Reihenfolge und die Einstufung ändern.

Suse Linux führt keine speziellen Log-Dateien für Daemons. Die für das Daemon-Log vorgesehenen Einträge können Sie deshalb benutzen, um zum Beispiel das Protokoll von Yast zu studieren. Wählen Sie dazu Einstellungen / KSystemLog einrichten und klicken Sie dann auf den Menüpunkt Daemon-Log. Markieren Sie die bestehenden drei Einträge mit gedrückter [Strg]-Taste und klicken Sie anschließend auf Entfernen. Über Datei hinzufügen fügen Sie nun die Dateien /var/log/YaST2/y2log und /var/log/YaST2/y2logRPM hinzu. Wahlweise setzen Sie über Einstufung ändern noch ein neues Symbol für eine der beiden Dateien. Nach einem Klick auf OK sehen Sie die Protokolldateien von Yast, wenn Sie den Daemon-Log öffnen.(mhi)

Dieser Online-Artikel kann Links enthalten, die auf nicht mehr vorhandene Seiten verweisen. Wir ändern solche "broken links" nur in wenigen Ausnahmefällen. Der Online-Artikel soll möglichst unverändert der gedruckten Fassung entsprechen.