Lệnh tail trong Linux — Xem nội dung cuối file

Bạn đã bao giờ rơi vào tình huống đang quản trị một hệ thống VPS quan trọng, bỗng nhiên phát hiện log ứng dụng gặp lỗi liên tục và bạn cần phải theo dõi sát sao từng dòng dữ liệu mới nhất để tìm ra nguyên nhân ngay lập tức chưa nhỉ? Trong vai trò một Senior System Admin, việc xử lý sự cố nhanh chóng chính là chìa khóa, và đó là lúc bạn cần đến một trợ thủ đắc lực.

tail là một lệnh vô cùng mạnh mẽ giúp bạn xem phần cuối của tệp tin một cách tức thời. Nếu bạn đang thắc mắc tail là gì hay cần tìm hiểu cách dùng tail sao cho hiệu quả nhất trong công việc hàng ngày, thì bài viết này chính là dành cho bạn. Chúng ta sẽ cùng nhau khám phá cách dùng tail Linux để kiểm soát dữ liệu, từ đó nắm vững cách xem nội dung tệp tin một cách chuyên nghiệp nhất. Tất nhiên, việc làm chủ lệnh tail sẽ giúp bạn quản lý vps trở nên mượt mà và tự tin hơn rất nhiều, đúng không nào?

Cần chuẩn bị gì trước khi dùng lệnh tail?

Quyền người dùng: Người dùng thường có thể sử dụng lệnh này. Tuy nhiên, quyền root hoặc sudo là cần thiết nếu bạn muốn đọc các tệp tin hệ thống được bảo vệ.
Hệ điều hành hỗ trợ: Lệnh tail có sẵn trên hầu hết các bản phân phối Linux (Ubuntu, Debian, CentOS, RHEL, Fedora), các hệ điều hành dựa trên Unix và macOS.
Gói phần mềm: Lệnh tail thuộc gói GNU Coreutils. Hầu hết các hệ thống Linux đều đã cài đặt sẵn gói này mặc định.

Cú pháp lệnh tail là gì?

Lệnh tail hỗ trợ nhiều dạng cú pháp khác nhau để xem phần cuối của tệp tin trên các hệ điều hành Linux/Unix.

tail [OPTIONS] [FILE]...

Các tùy chọn của lệnh tail là gì?

Lệnh tail cung cấp các tùy chọn thuộc hai nhóm chính: kiểm soát số lượng dòng/byte đầu ra và theo dõi file theo thời gian thực.

Tùy chọn ngắn	Tùy chọn dài	Mô tả
-n [+]NUM	--lines=[+]NUM	tail -n 20 file.txt hiển thị 20 dòng cuối của file. Thêm dấu + phía trước số (--lines=+5) để hiển thị từ dòng thứ 5 trở đi đến cuối file.
-c [+]NUM	--bytes=[+]NUM	tail -c 100 file.txt hiển thị 100 byte cuối của file. Thêm dấu + để đọc từ byte thứ NUM đến cuối file.
-f	--follow[=name\|descriptor]	tail -f file.log theo dõi file và hiển thị nội dung mới được ghi thêm theo thời gian thực. Mặc định theo dõi theo file descriptor.
-F		tail -F file.log tương đương --follow=name --retry, tự động kết nối lại nếu file bị xóa hoặc đổi tên rồi tạo lại.
-s SEC	--sleep-interval=SEC	tail -s 2 -f file.log đặt khoảng thời gian chờ giữa các lần kiểm tra file khi dùng với -f, tính bằng giây (mặc định là 1 giây).
-q	--quiet, --silent	tail -q file1.txt file2.txt ẩn phần header tên file khi xem nhiều file cùng lúc.
-v	--verbose	tail -v file.txt luôn hiển thị header tên file, kể cả khi chỉ xem một file duy nhất.
-z	--zero-terminated	tail -z file.txt sử dụng ký tự null (NUL) thay vì ký tự xuống dòng làm dấu phân tách dòng, phù hợp khi xử lý dữ liệu nhị phân.
--pid=PID	--pid=PID	tail -f --pid=1234 file.log tự động dừng theo dõi file khi tiến trình có PID chỉ định kết thúc. Dùng kết hợp với -f.
--retry	--retry	tail --retry -f file.log liên tục thử mở lại file nếu file chưa tồn tại hoặc không thể truy cập. Dùng kết hợp với -f.
--max-unchanged-stats=N	--max-unchanged-stats=N	tail --max-unchanged-stats=5 -f file.log kiểm tra lại tên file sau N lần kiểm tra mà file không thay đổi, dùng khi theo dõi theo tên.
--help	--help	tail --help hiển thị thông tin trợ giúp về cú pháp và các tùy chọn của lệnh rồi thoát.
--version	--version	tail --version hiển thị thông tin phiên bản của lệnh tail đang được cài đặt trên hệ thống rồi thoát.

xem thêm: Text Processing and Editing

Cách sử dụng lệnh tail trong các tình huống thực tế là gì?

Phần dưới đây trình bày các kịch bản áp dụng lệnh tail để giám sát log và xử lý dữ liệu trong quản trị hệ thống.

tail là gì? [Hiển thị 10 dòng cuối cùng của tệp]

tail access.log
==> access.log <==
192.168.1.1 - - [10/Oct/2023:13:55:01 +0700] "GET /index.html HTTP/1.1" 200
192.168.1.2 - - [10/Oct/2023:13:55:05 +0700] "POST /login HTTP/1.1" 401
... (8 dòng tiếp theo)

Lệnh hiển thị mặc định 10 dòng cuối cùng của tệp tin. Trong thực tế, đây là cách nhanh nhất để kiểm tra trạng thái cuối cùng của một tệp log mà không cần mở toàn bộ tệp.

tail -n là gì? [Xem số lượng dòng cụ thể]

tail -n 5 error.log
==> error.log <==
[2023-10-10 14:00:01] Error: Connection timeout
[2023-10-10 14:00:05] Error: Database unavailable
[2023-10-10 14:00:10] Error: Permission denied
[2023-10-10 14:00:15] Error: Out of memory
[2023-10-10 14:00:20] Error: Disk full

Tham số -n cho phép bạn chỉ định chính xác số dòng muốn xem từ cuối tệp lên. Trên môi trường production, tham số này giúp thu hẹp phạm vi kiểm tra khi tệp log có dung lượng cực lớn.

tail -f là gì? [Theo dõi log theo thời gian thực]

tail -f /var/log/syslog
==> /var/log/syslog <==
Oct 10 14:05:01 server systemd[1]: Starting Session 1 of user root.
Oct 10 14:05:10 server kernel: [12345.67] usb 1-1: new high-speed USB device
Oct 10 14:05:15 server sshd[1234]: Accepted password for admin from 10.0.0.5

Tham số -f giữ cho tệp tin luôn mở và cập nhật dữ liệu mới ngay khi chúng được ghi vào. Đây là công cụ thiết yếu cho sysadmin khi cần debug lỗi phát sinh tức thời trong quá trình vận hành ứng dụng.

tail -n + là gì? [Đọc từ một dòng cụ thể]

tail -n +50 data.txt
[Dòng thứ 50 của tệp]
[Dòng thứ 51 của tệp]
...

Sử dụng dấu cộng trước số dòng cho phép bạn bắt đầu đọc từ dòng thứ n cho đến hết tệp. Trong các kịch bản automation, cách này giúp bỏ qua phần header hoặc các dữ liệu cũ không cần thiết để xử lý phần nội dung phía sau.

tail kết hợp với grep là gì? [Lọc log theo từ khóa cụ thể]

tail -f access.log | grep "404"
==> access.log <==
192.168.1.5 - - [10/Oct/2023:14:10:01] "GET /broken-link HTTP/1.1" 404
192.168.1.9 - - [10/Oct/2023:14:10:15] "GET /favicon.ico HTTP/1.1" 404

Sử dụng pipe (|) để chuyển dữ liệu từ tail sang grep giúp lọc ra các dòng chứa từ khóa mong muốn. Đây là kỹ thuật nâng cao giúp DevOps giám sát các lỗi cụ thể (như lỗi 404 hoặc 500) giữa hàng triệu dòng log đang trôi qua liên tục.

Lệnh tail gặp lỗi hoặc không hiển thị kết quả như mong muốn phải làm sao?

Dưới đây là các tình huống thực tế thường gặp khi sử dụng lệnh tail trong quá trình quản trị hệ thống và giám sát log.

Không thể theo dõi file log đang được ghi thêm dữ liệu

tail -f /var/log/syslog
[File not found]

Lỗi xảy ra khi đường dẫn file không chính xác hoặc người dùng không có quyền đọc file log, khiến lệnh không thể duy trì chế độ theo dõi thời gian thực.

Lệnh tail -f dừng hoạt động khi file log bị xoay vòng (log rotation)

tail -f /var/log/nginx/access.log
[Dừng hiển thị dữ liệu mới khi file bị rename]

Khi hệ thống thực hiện log rotation (đổi tên file cũ và tạo file mới), lệnh tail -f truyền thống sẽ tiếp tục theo dõi file cũ đã bị đóng thay vì file mới vừa được tạo.

Không hiển thị đủ số dòng dữ liệu cần thiết

tail -n 10 /var/log/auth.log
[Chỉ hiển thị 10 dòng cuối cùng mặc định]

Người dùng thường nhầm lẫn khi muốn xem một lượng lớn dữ liệu nhưng chỉ sử dụng tùy chọn mặc định hoặc nhập sai tham số số dòng, dẫn đến việc bỏ lỡ các sự kiện quan trọng phía trên.

Lỗi hiển thị nội dung rác khi theo dõi file log dạng binary

tail -f /usr/sbin/apache2
[^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@^@]

Việc sử dụng tail trên các file thực thi hoặc file nhị phân thay vì file văn bản sẽ khiến terminal hiển thị các ký tự không đọc được, gây nhiễu màn hình điều khiển.

Quy trình thực tế dùng tail trong quản trị hệ thống Linux?

Trong kịch bản giám sát dịch vụ web server và xử lý lỗi phát sinh trên môi trường production, tail đóng vai trò là công cụ quan trọng để theo dõi nhật ký hệ thống theo thời gian thực.

Bước 1: Kiểm tra các dòng cuối cùng của file log để xác định lỗi gần nhất

tail -n 20 /var/log/nginx/error.log
[2023/10/27 10:00:01] [error] 1234#0: *1 connection refused while connecting to upstream]
... (20 dòng cuối)

Lệnh này cho phép bạn xem nhanh 20 dòng cuối cùng của file log để nắm bắt các sự kiện vừa xảy ra.

Bước 2: Theo dõi log trực tiếp (Real-time) khi đang tái lập lỗi

tail -f /var/log/nginx/access.log
192.168.1.1 - - [27/Oct/2023:10:05:01 +0700] "GET /api/v1/users HTTP/1.1" 200 ...
192.168.1.5 - - [27/Oct/2023:10:05:05 +0700] "POST /login HTTP/1.1" 401 ...

Sử dụng tham số -f giúp bạn quan sát các dòng log mới được ghi thêm vào file ngay lập tức, hỗ trợ việc debug lỗi khi đang thực hiện thao tác trên ứng dụng.

Bước 3: Theo dõi log từ một file cụ thể bắt đầu từ một số dòng nhất định

tail -n +50 /var/log/syslog
[Oct 27 10:10:01 server systemd: Started Session 123 of user root.]
... (hiển thị từ dòng thứ 50 trở đi)

Trong các trường hợp cần xem một đoạn log lớn bắt đầu từ một điểm cố định thay vì chỉ xem phần cuối, tham số -n + kết hợp với số dòng cho phép bạn quét dữ liệu từ vị trí đó đến hết file.

Việc sử dụng lệnh tail trên môi trường VPS đòi hỏi sự chính xác về tham số để tránh lãng phí tài nguyên hệ thống. Trong các tình huống debug lỗi service hoặc theo dõi log thời gian thực, người dùng thường quên sử dụng tùy chọn -f, dẫn đến việc lệnh kết thúc ngay sau khi hiển thị các dòng cuối cùng thay vì duy trì kết nối với file. Khi quản trị VPS, việc chạy lệnh tail -f trên các file log có dung lượng cực lớn mà không kết hợp với grep có thể gây khó khăn trong việc lọc dữ liệu quan trọng. Ví dụ, lệnh tail -f /var/log/nginx/access.log | grep "404" cho phép lọc chính xác các yêu cầu lỗi. Ngoài ra, nếu file log bị luân chuyển (log rotation) bởi hệ thống, việc sử dụng tham số -F thay vì -f giúp lệnh tiếp tục theo dõi file mới sau khi file cũ đã được nén hoặc xóa, đảm bảo tính liên tục của quá trình giám sát trên VPS.

Những câu hỏi thường gặp về lệnh tail?

Dưới đây là các tình huống thực tế và thắc mắc phổ biến nhất khi người dùng bắt đầu sử dụng lệnh tail trong quản trị hệ thống Linux.

Làm thế nào để xem nội dung cuối cùng của một tệp tin?

Theo mặc định, lệnh tail sẽ hiển thị 10 dòng cuối cùng của tệp tin được chỉ định.

tail access.log
[10 dòng cuối cùng của tệp access.log]

Làm cách nào để xem một số lượng dòng cụ thể?

Sử dụng tùy chọn -n kết hợp với số dòng mong muốn để giới hạn lượng dữ liệu hiển thị.

tail -n 5 access.log
[5 dòng cuối cùng của tệp access.log]

Cách theo dõi log file theo thời gian thực là gì?

Tùy chọn -f cho phép bạn theo dõi các dòng mới được ghi thêm vào tệp tin ngay lập tức.

tail -f access.log
[Hiển thị dòng cuối và dừng lại để chờ các dòng mới được ghi vào]

Làm sao để xem nội dung bắt đầu từ một số dòng nhất định?

Sử dụng dấu cộng (+) trước số dòng với tùy chọn -n để hiển thị từ dòng đó cho đến hết tệp.

tail -n +20 access.log
[Hiển thị nội dung từ dòng thứ 20 đến dòng cuối cùng của tệp]

Làm thế nào để xem n dòng cuối cùng của nhiều tệp cùng lúc?

tail -n 3 log1.txt log2.txt
==> log1.txt <==
[3 dòng cuối log1]

==> log2.txt <==
[3 dòng cuối log2]

Cách xem nội dung theo dung lượng thay vì số dòng?

Sử dụng tùy chọn -c để xác định số lượng byte cần hiển thị từ cuối tệp.

tail -c 100 access.log
[Hiển thị 100 byte cuối cùng của tệp]

Lệnh tail là một công cụ mạnh mẽ giúp bạn quan sát nhanh phần cuối của các tệp tin trong hệ thống Linux. Bạn có thể vô cùng dễ dàng theo dõi các dòng log mới nhất đang xuất hiện theo thời gian thực bằng tham số -f, hoặc nhanh chóng kiểm tra một số lượng dòng nhất định thông qua tham số -n, đúng không nhỉ? Việc nắm vững các tùy chọn này chắc chắn sẽ giúp công việc quản trị hệ thống của bạn trở nên hiệu quả và chuyên nghiệp hơn rất nhiều. Chúc bạn thành công!