registro do sistema diferente de journalctl

Tenho assumido que o journalctl é um agregador abrangente de logs do sistema, mas descobri que isso está incorreto.

É mais ou menos isso! Journalctl faz parte dos sistemas systemd; neles, todas as coisas relativas ao tempo de vida dos serviços, logins, etc. são de fato registradas no diário: Basicamente, tudo o que o systemd faz ou conhece. Isso também envolve serviços iniciados por meio de um arquivo de serviço systemd, que (como padrão) registra a saída padrão desses serviços no diário.

No entanto, todo programa é livre para registrar como quiser. Por exemplo, os daemons do seu servidor de e-mail podem registrar-se em /var/log/mail/…, seu servidor web apache2 tem seus próprios locais de registro configuráveis, etc.

Portanto, /var/log geralmente é um local onde você encontra arquivos de log relevantes, mas você gostaria de examinar a configuração dos serviços executados; pelo menos, todo serviço iniciado pelas formas usuais é registrado no diário e listado no arquivo systemctl status.

Por exemplo, dmesg fornece registro do sistema antes que o systemd seja totalmente ativado e apresenta uma visão mais precisa dos estados e processos do hardware.

não confunda dmesgcom um concorrente do diário: é apenas o comando que gera o buffer de log do seu kernel. Ele não registra nada além de mensagens do kernel. E, como tal, sim, ele está funcionando antes que o diário possa iniciar o registro. Mas, se você journalctl -b0ler o log desde o início da inicialização atual, deverá ver as mesmas mensagens que vê no início da dmesgsaída do. Portanto, o que você pode ver em um sistema em execução dmesgdeve ser um subconjunto estrito do que você pode ver por meio de journalctl.