NAS的系统日志在哪里看？谁登过你的群晖、几点断的电，翻日志比装监控还清楚

去年我把NAS的SSH端口转发到公网折腾远程访问，一直觉得自己那台小机器没人会注意。半个月后闲着没事翻了翻日志，好家伙，人家天天来敲门，一晚上几百回，用户名从admin试到root，登录失败一排排往下刷，比我家门口的摄像头记录访客还勤快。那半个月的具体经过我写在开启SSH那篇里了，这里只说一句：能让我事后数清楚对方来了多少趟的，就是系统日志。

打那以后我养成了每月翻一次日志的习惯。NAS跟路由器不一样，家里最值钱的照片和文档全在里面，它见过谁、经历过什么事，日志里全记着。这篇把群晖和飞牛两家的日志入口，还有最值得翻的三块，一次说清。

群晖的日志中心在哪：要到套件中心装，升级DSM7后它不是内置的

群晖的日志功能叫「日志中心」，Log Center。打开套件中心，搜「日志中心」，装上，主菜单里就多出来一个图标。进去之后左栏分三大类：系统、连接、文件传输，顶上能按关键字、日期、日志类型筛，还能整体导出成HTML或者CSV存档。

这里有个坑得先说：DSM6 时代日志中心是系统自带的，升级到 DSM7 之后它变成了套件，要自己动手装。我表弟那台停在DSM6.2的老机器一直有；帮升完7.2的朋友找日志，翻遍主菜单没有，还以为这功能被砍了，其实就是套件中心里没装。顺带一句，要是套件中心本身都打不开，那是另一个病，四个病根我之前单独写过一篇。

三大类各管一摊，拿我自己的使用频率排个序：连接日志看得最多，系统日志出事才翻，文件传输日志查「谁动了我的文件」时最香。

谁登录过你的NAS：连接日志是最好看的一块

连接日志一行一条，字段就四个：时间、用户名、来源IP、事件。事件无非「登录成功」「登录失败」「登出」这几种，但组合起来信息量很大。我总结成三招：

第三行那个乌龙我真踩过。我姐借我的账号在她家电视上登过一次相册，用完没退出，她家宽带每次重拨就换一个公网IP。有阵子我的连接日志里隔三差五冒出陌生IP「登录成功」，我盯着研究半天，差点就把全家的密码都换一遍，后来才想起她那台电视。让她退出账号之后，世界清净了。所以看到陌生IP先别慌，先排除家里人。

顺带说下第三类「文件传输日志」，家里多人共用一台NAS时特别有用。它记的是谁在哪个时间上传、下载、删除了什么文件，按用户名一筛，谁的账号在动哪个目录清清楚楚。有一回我妈说相册里一段视频不见了，全家都说我删的，翻文件传输日志一看，是娃的平板登录着的账号自己删的，冤案当场平反。删除记录这种事，口头说不清，日志说了算。

真正要警惕的是头一种。我那半个月被扫的时候，日志里就是典型造型：同一个IP「登录失败」几十连击，换个IP接着来。群晖在控制面板→安全性→帐户里有个自动封锁，登录失败达到次数就锁IP，锁没锁、锁了谁，日志里也有记录——那些是系统替你挡下来的，挡不住的才是要你亲自处理的。账号密码这块要是彻底忘了怎么救，机身上那个reset孔的文章写过，这里不展开。

系统日志是病历本：硬盘、断电、服务重启它全记得

系统日志记的是NAS自己的家长里短，我最常用它干三件事。

头一件，查硬盘。系统日志里跟硬盘相关的记录特别多，掉盘、重连、温度告警都有。上次帮表弟查开机认不到盘，进SSH敲dmesg看是一排排 SATA link down，其实图形界面的系统日志里也能看到一部分，那个排查全过程在认不到硬盘那篇。还有一回查硬盘老是睡不着觉，也是先翻日志看几点几分谁在碰盘，最后揪出来是下载器每五分钟写一次session，那段经历在休眠失败那篇里。

第二件，对断电时间。日志按时间戳一条条记，突然大面积同秒中断、重启之后从零开始数，中断那一刻就是跳闸断电的时刻。我家去年秋天那次半夜跳闸，就是这么对出来三点四十七的，比回忆靠谱多了。日志里的时间靠NAS自己走钟，要是时间本身不对，先去把NTP对时弄准，不然锚点全是歪的。

第三件，看服务重启记录。Docker容器半夜挂没挂、某个服务几点被拉起来过，系统日志里都有账。这类记录平时没人看，真出事的时候就是唯一的时间线。

日志能存多久，掉电会不会丢

日志中心的设置里有保留和归档策略，默认是循环覆盖，新的顶掉旧的，所以太老的翻不到是正常的。想留证据就两招：一是定期导出，HTML或CSV点一下就下载；二是用「已归档」功能，日志中心会打包存档，归档里的东西不会被日常滚动冲掉。

掉电丢不丢要分家：写进盘里的不会丢；但内核那一层有些日志只在内存里，重启就没了。所以NAS出怪事，第一动作是导出日志，第二动作才是重启。这个顺序我吃过亏才记住的——先重启再想看日志，现场已经没了。

飞牛和没装套件的怎么办：开SSH走命令行

飞牛fnOS我这版没找到成体系的图形日志页，应用中心里可以搜「日志」相关的应用看看，版本之间有出入，有就装没有别硬找。正路是开SSH，三条命令打天下：

dmesg看硬件层，硬盘掉线、USB设备断连这类事它最先知道；journalctl看系统服务，哪个服务几点挂的一目了然；/var/log/目录是Linux的老牌日志仓库，慢慢翻总有收获。前面说过的休眠排查、认盘排查，底层用的都是这几样，怎么开SSH在那篇SSH文章里。

还有一句实在话：日志是病历本，翻它永远是事后。比它进一步的是让NAS主动汇报——我把告警接到了手机上，备份失败、硬盘健康变化都会推一条，勒索病毒爱挑半夜动手这种事，等你自己翻日志就晚了，具体配法在告警那篇。路由器和光猫也有各自的日志，打法一样，路由器日志和光猫日志我分开写过。

收尾：三件事按顺序做

翻出问题别慌，改密码、换高位端口、关掉不用的远程入口，三招下去基本就断根了。真被进去过怎么办，勒索病毒那篇里有完整的处理顺序，拔网线永远排在断电前面。