主要日志在哪
系统日志通常在 /var/log 下，如系统消息、认证日志、Web 服务器访问和错误日志。先知道日志在哪，排查时才不用到处找。
看什么
错误日志看报错原因，访问日志看请求和来源，认证日志看登录失败（判断是否被暴力尝试）。用 tail 实时看、grep 过滤关键词。
常见问题排查
502 看 Web 与后端错误日志，磁盘占满看日志文件大小，被攻击看访问日志的来源分布。日志能回答「什么时候、发生了什么」。
日志轮转
日志会持续增长，要配置轮转防止占满磁盘。保留最近若干份、超过就压缩或删除，避免日志本身成为磁盘问题。