Registro de eventos (logging): filtros de journalctl, rsyslog, logrotate

Los logs son tu registro de lo que ocurrió en un sistema, y son el primer lugar donde mirar cuando algo se rompe o parece sospechoso. Las distribuciones modernas de Linux usan dos sistemas de registro lado a lado: el journal de systemd y rsyslog, con logrotate manteniendo bajo control los logs basados en archivos. Saber cuál contiene qué, y cómo filtrar rápidamente, convierte una búsqueda larga en un comando de una línea. systemd-journald recoge mensajes del kernel, del arranque temprano, de stdout y stderr de los servicios y de la interfaz syslog, y los guarda en un journal binario estructurado con campos como la unidad, el PID y la prioridad. En muchas distribuciones, el journal se mantiene solo en memoria bajo /run/log/journal a menos que exista /var/log/journal o se establezca Storage=persistent en /etc/systemd/journald.conf. Sin persistencia, los logs anteriores al último reinicio desaparecen. journalctl --disk-usage muestra su tamaño, journalctl --vacuum-size=500M o --vacuum-time=2weeks lo recortan, y SystemMaxUse= en journald.conf lo limita.