修改主机名时日志写入哪个文件？如何查看历史主机名？（/var/log/messages无记录）

嘿，我来帮你解决这个主机名日志和历史查询的问题——之前我也碰到过/var/log/messages找不到记录的情况，主要是现在很多主流发行版用systemd日志系统替代了部分传统syslog的功能，下面给你梳理清楚：

一、修改主机名会写入哪些日志？ #

具体要看你的系统类型和修改方式：

• Systemd-based系统（CentOS7+/RHEL7+/Ubuntu16.04+等）：如果用官方推荐的hostnamectl set-hostname命令修改，操作会被记录到systemd的journal日志中，而非/var/log/messages。你可以用以下命令精准查询：

  # 查看systemd-hostnamed服务的所有日志（包含主机名修改记录）
  journalctl -u systemd-hostnamed
  # 或者全局过滤主机名相关日志
  journalctl | grep -i "hostname changed\|host name"
  

• 手动修改配置文件的情况：如果是直接编辑/etc/hostname或/etc/hosts，默认不会被系统日志记录，除非你开启了文件审计服务（auditd）。如果启用了auditd，可通过以下命令查看：

  ausearch -f /etc/hostname
  

• 旧版非systemd系统（如Ubuntu14.04及以前）：修改主机名的操作可能会写入/var/log/syslog，可尝试：

  grep "hostname" /var/log/syslog
  

二、如何查看系统的历史主机名？ #

这里有几个靠谱的方法：

• 通过systemd日志回溯：刚才提到的journalctl -u systemd-hostnamed会清晰显示所有通过hostnamectl修改主机名的历史，条目里会明确标注旧主机名和新主机名，比如：

  systemd-hostnamed[1234]: Changed host name from "old-server-01" to "new-server-01"

• 查找配置文件备份：很多系统在编辑系统文件时会自动生成带~后缀的备份文件，你可以检查：

  # 查看/etc/hostname的备份（如果存在）
  cat /etc/hostname~
  # 同时检查/etc/hosts的备份，里面可能有旧的主机名映射
  cat /etc/hosts~
  

• 审计日志（若启用）：如果系统开启了auditd，审计日志会记录所有对/etc/hostname的修改操作，可通过以下命令提取历史信息：

  ausearch -f /etc/hostname --raw | aureport -f -i
  

• 查看命令历史：如果修改主机名是通过命令行执行的，可检查用户的bash历史（注意：若用户清空过历史则无效）：

  grep -i "hostname" ~/.bash_history
  

内容的提问来源于stack exchange，提问作者arifisik