Hướng dẫn sử dụng lệnh sar Linux để giám sát hệ thống hiệu quả

Lệnh sar Linux là công cụ giám sát hiệu năng hệ thống, giúp bạn theo dõi CPU, RAM, I/O và nhiều tài nguyên khác theo thời gian. Trong bài viết này, mình sẽ cùng bạn tìm hiểu cách cài đặt, sử dụng và đọc kết quả lệnh sar để chủ động phát hiện và xử lý các vấn đề quá tải trên server Linux. Nhờ đó, bạn có thể tối ưu hệ thống hiệu quả hơn, giữ dịch vụ ổn định ngay cả khi lượng truy cập tăng cao.

Những điểm chính

• Quan điểm của mình: Lệnh sar giúp System Admin nào muốn chuyển từ thế bị động sang chủ động phòng ngừa các sự cố hệ thống.
• Khái niệm sar Linux: Hiểu rõ sar là một công cụ giám sát hiệu suất, giúp bạn thu thập và phân tích dữ liệu lịch sử về tài nguyên hệ thống như CPU, RAM và disk I/O.
• Lợi ích chính: Nhận thức được các lợi ích vượt trội so với các công cụ khác, giúp bạn hiểu rõ tại sao sar lại mạnh mẽ trong việc phân tích xu hướng và điều tra các sự cố đã qua.
• Cách cài đặt và sử dụng nhanh: Nắm vững các bước cài đặt sysstat trên các hệ điều hành phổ biến và cách sử dụng lệnh cơ bản, giúp bạn nhanh chóng thiết lập và bắt đầu giám sát hệ thống.
• Cú pháp và các tùy chọn: Nắm vững cú pháp cơ bản và các tùy chọn quan trọng, giúp bạn kiểm soát chi tiết loại tài nguyên cần giám sát và cách thức hiển thị dữ liệu.
• Các kịch bản thực tế: Nắm vững các ví dụ thực tế, giúp bạn áp dụng lệnh sar một cách linh hoạt để kiểm tra lịch sử CPU, phát hiện rò rỉ bộ nhớ và phân tích tải mạng.
• Các mẹo sử dụng nâng cao: Tìm hiểu các mẹo hữu ích như tạo alias và tối ưu cấu hình, giúp bạn làm việc với sar một cách hiệu quả và chuyên nghiệp hơn.
• Câu hỏi thường gặp: Giải đáp các thắc mắc liên quan đến lệnh sar Linux.

Sar Linux là gì?

Sar Linux là tiện ích dòng lệnh thuộc bộ sysstat, chuyên dùng để thu thập và hiển thị số liệu về hiệu suất hệ thống Linux như CPU, bộ nhớ, disk I/O, network, tiến trình và swap. Thay vì chỉ cho thấy trạng thái tại một thời điểm, sar có thể chạy nền và ghi lại các mẫu số liệu theo chu kỳ, sau đó lưu vào file log để người quản trị xem lại hoạt động của hệ thống theo thời gian.

Nhờ cơ chế này, lệnh sar hỗ trợ phân tích cả dữ liệu thời gian thực lẫn dữ liệu lịch sử, giúp nhận diện các giai đoạn CPU tăng cao, RAM bị chiếm dụng nhiều, I/O chậm hoặc lưu lượng mạng tăng bất thường, ngay cả khi sự cố đã qua và trạng thái hiện tại đã ổn định. Trên hầu hết bản phân phối Linux, sar được cài thông qua gói sysstat và kết hợp với cron để tự động thu thập dữ liệu, từ đó trở thành một thành phần quan trọng trong quy trình giám sát, tối ưu và xử lý sự cố tài nguyên trên máy chủ.

Lợi ích khi dùng sar thay cho các công cụ giám sát khác

Lệnh sar mang lại nhiều lợi ích trong giám sát tài nguyên so với việc chỉ dùng các công cụ như top, htop, vmstat, iostat hay free, đặc biệt khi cần phân tích cả thời điểm hiện tại lẫn dữ liệu đã qua. Một số điểm nổi bật khi sử dụng sar có thể kể đến như:

• Giám sát được cả thời gian thực và dữ liệu lịch sử: sar có khả năng lấy mẫu theo chu kỳ và lưu lại vào file log, từ đó cho phép xem lại CPU, RAM, I/O, network theo từng mốc thời gian cụ thể trong quá khứ.
• Giám sát toàn diện: Chỉ với một công cụ duy nhất, bạn có thể theo dõi CPU (với -u), RAM (với -r), Disk I/O (với -d), Load Average (với -q) và Network (với -n).
• Phân tích được xu hướng và giai đoạn bất thường: Nhờ log chi tiết theo phút/giờ/ngày, sar hỗ trợ phát hiện các khoảng thời gian CPU tăng cao, RAM bị chiếm dụng nhiều, disk hoặc network bị tải nặng, kể cả khi sự cố đã kết thúc và hệ thống đang trở lại trạng thái ổn định.
• Tích hợp tốt với cron và dễ tùy chỉnh tần suất thu thập: Cấu hình sysstat cho phép điều chỉnh chu kỳ lấy mẫu và thời gian lưu log trong các file như /etc/cron.d/sysstat và /etc/sysstat/sysstat, giúp cân bằng giữa độ chi tiết của dữ liệu và chi phí lưu trữ.
• Phù hợp cho môi trường server và nhu cầu điều tra sự cố: sar cung cấp chuỗi dữ liệu liên tục, giúp truy vết nguyên nhân các đợt quá tải tài nguyên, đánh giá mức sử dụng trung bình trong ngày và phục vụ hoạt động capacity planning trên máy chủ Linux.
• Tiêu tốn ít tài nguyên: Tiến trình thu thập dữ liệu của sysstat hoạt động rất nhẹ nhàng, không gây ảnh hưởng đến hiệu năng tổng thể của máy chủ.

Cài đặt sysstat/sar trên Debian, Ubuntu

Bước 1: Bạn cập nhật danh sách gói phần mềm bằng lệnh:

sudo apt update

Bước 2: Cài đặt gói sysstat (bao gồm lệnh sar) bằng:

sudo apt install sysstat

Bước 3: Bạn cấu hình cho phép sysstat thu thập dữ liệu bằng cách mở file /etc/default/sysstat và chuyển giá trị ENABLED=”false” thành ENABLED=”true”.

Bước 4: Bạn kích hoạt và khởi động dịch vụ sysstat:

sudo systemctl enable --now sysstat

Sau khi hoàn thành ba bước trên, gói sysstat sẽ được cài vào hệ thống và dịch vụ sysstat bắt đầu chạy nền để thu thập số liệu định kỳ.

Cài đặt sysstat/sar trên CentOS, RHEL, Rocky, AlmaLinux

Bước 1: Bạn cài đặt sysstat bằng công cụ quản lý gói:

• Trên hệ dùng yum:

yum install sysstat

• Trên hệ dùng dnf:

dnf install sysstat

Bước 2: Bạn kích hoạt và chạy dịch vụ sysstat:

systemctl enable --now sysstat

Sau khi dịch vụ được bật, sysstat sẽ tự động thu thập các số liệu về CPU, bộ nhớ, I/O và lưu vào các file log saXX tương ứng với từng ngày trong thư mục log hệ thống.

Sau khi hoàn tất cài đặt theo hai cách trên, bạn có thể chạy thử lệnh sar -u 1 5 để kiểm tra nhanh mức độ sử dụng CPU (lấy mẫu 1 giây/lần, lặp lại 5 lần).

Trong đó:

• Tham số -u yêu cầu sar hiển thị thống kê sử dụng CPU.
• Số 1 quy định khoảng thời gian lấy mẫu là 1 giây.
• Số 5 là số lần lặp, tức sar sẽ thu thập và in ra 5 mẫu CPU liên tiếp trong 5 giây.

Các file log của sar được lưu ở đâu?

Theo mặc định, lệnh sar sẽ ghi dữ liệu lịch sử vào các file nhị phân được lưu trữ theo cấu trúc thư mục của hệ điều hành. Cụ thể:

• Đường dẫn thường gặp là /var/log/sa/ hoặc /var/log/sysstat/.
• Tên file log có định dạng là saXX, trong đó XX đại diện cho ngày trong tháng (ví dụ: sa07 lưu dữ liệu của ngày mùng 7, sa15 lưu dữ liệu của ngày 15).

Cú pháp chuẩn của lệnh sar

Cú pháp cơ bản của lệnh sar được thiết kế theo dạng tùy chọn + chu kỳ lấy mẫu + số lần lặp, cho phép linh hoạt trong việc xem dữ liệu thời gian thực hoặc đọc lại từ file log. Khi nắm rõ cấu trúc này, bạn có thể kết hợp nhiều tùy chọn để giám sát từng nhóm tài nguyên khác nhau trên hệ thống Linux. Cú pháp tổng quát của sar:

sar [options] [interval] [count]

Trong đó:

• options: Là các tùy chọn quy định loại tài nguyên hoặc kiểu thống kê cần hiển thị, ví dụ -u, -r, -d, -n, -f.
• interval: Là khoảng thời gian (tính bằng giây) giữa hai lần lấy mẫu liên tiếp, ví dụ 1, 2, 5.
• count: Là số lần lặp lại việc lấy mẫu, nếu bỏ trống, sar sẽ tiếp tục chạy cho đến khi bạn dừng thủ công bằng tổ hợp phím như Ctrl+C.

Các tùy chọn cơ bản của lệnh sar

Bảng dưới đây sẽ mô tả ngắn gọn chức năng, ví dụ lệnh và ý nghĩa thực tế của từng tùy chọn phổ biến:

Dùng sar kiểm tra lịch sử CPU tăng cao

Khi cần xem lại lịch sử CPU trong ngày để tìm thời điểm từng bị tăng cao, bạn có thể đọc trực tiếp dữ liệu từ file log sysstat theo định dạng saXX.

Bước 1: Xác định thư mục lưu log sar bằng cách liệt kê thư mục /var/log/sa (hoặc /var/log/sysstat tùy hệ thống) để đảm bảo file log tồn tại.

ls -l /var/log/sa/

Bước 2: Đọc lịch sử CPU của ngày hiện tại bằng lệnh sar với option -u kết hợp -f để chỉ định file log.

sar -u -f /var/log/sa/sa$(date +%d)

Bước 3: Bạn quan sát các cột %user, %system, %iowait, %idle theo từng mốc thời gian trong output để xác định khoảng thời gian CPU tăng cao bất thường và đối chiếu với log ứng dụng hoặc cron tương ứng.

Kiểm tra RAM và Swap để phát hiện memory leak

Trong trường hợp nghi ngờ dịch vụ bị rò rỉ bộ nhớ, bạn có thể theo dõi liên tục RAM và swap trong một khoảng thời gian ngắn bằng lệnh sar.

Bước 1: Bạn chạy lệnh sar với tùy chọn -r để hiển thị thống kê RAM và swap theo chu kỳ 1 giây, 10 lần liên tiếp.

sar -r 1 10

Bước 2: Theo dõi các cột memused, memfree, swpused trong kết quả. Nếu thấy giá trị sử dụng tăng đều theo thời gian mà không giảm, dù tải không đổi nhiều, đây có thể là dấu hiệu bất thường về quản lý bộ nhớ.

Bước 3: Bạn có thể kết hợp thêm lệnh top hoặc htop để xác định tiến trình nào đang chiếm dụng bộ nhớ tăng dần và lên kế hoạch tối ưu hoặc xử lý dịch vụ đó.

Theo dõi Disk I/O và phát hiện bottleneck

Khi hệ thống phản hồi chậm, dù CPU và RAM còn dư, bạn cần kiểm tra disk I/O để xem thiết bị lưu trữ có trở thành điểm nghẽn hay không.

Bước 1: Bạn sử dụng sar với tùy chọn -d để hiển thị thống kê I/O của từng thiết bị mỗi 1 giây, trong 5 lần liên tiếp.

sar -d 1 5

Bước 2: Bạn xem kỹ các cột tps, rd_sec/s, wr_sec/s, await, %util để phát hiện thiết bị nào có số lần truy cập cao, thời gian chờ lâu hoặc phần trăm sử dụng gần mức tối đa. Nếu %util thường xuyên chạm mức 100% và await ở mức cao, máy chủ của bạn đang gặp thắt cổ chai tại ổ cứng. Giải pháp tốt nhất lúc này là chuyển sang sử dụng ổ cứng chuẩn NVMe.

Phân tích network load theo thời gian

Đối với các vấn đề liên quan đến băng thông hoặc tải network, bạn cần theo dõi từng interface theo thời gian để xác định card mạng đang chịu tải lớn.

Bước 1: Bạn chạy sar với tùy chọn -n DEV để lấy thống kê network cho tất cả interface, sau đó lọc riêng interface cần quan tâm, ví dụ eth0.

sar -n DEV 1 5 | grep eth0

Bước 2: Bạn quan sát các cột rxpck/s, txpck/s, rxkB/s, txkB/s để đánh giá lưu lượng nhận và gửi của eth0 theo từng giây. Nếu thấy một interface duy trì lưu lượng rất cao trong thời gian dài, bạn nên kết hợp thêm lệnh ip -s link hoặc công cụ giám sát khác để xác định rõ hơn tải thực tế và lên phương án phân bổ traffic hoặc bổ sung interface.

ip -s link show eth0

Tính CPU trung bình trong 1 file log

Khi không cần xem từng mốc thời gian mà chỉ muốn biết CPU trung bình trong một ngày, bạn có thể kết hợp sar và awk để trích dòng tổng kết.

sar -u -f /var/log/sa/sa10 | awk '/Average/ {print $3"% user, "$5"% idle"}'

Dựa trên kết quả %user và %idle trung bình, bạn có thể đánh giá nhanh mức độ bận của CPU trong cả ngày, từ đó cân nhắc tối ưu ứng dụng hoặc nâng tài nguyên nếu cần.

Tìm thời điểm network latency tăng cao

Để tìm các thời điểm lỗi hoặc độ trễ mạng tăng cao, bạn có thể tập trung vào nhóm chỉ số lỗi của interface và gắn nhãn cho kết quả để dễ đọc bằng lệnh:

sar -n EDEV -f /var/log/sa/sa$(date +%d) | grep IFIN | xargs -I{} echo "[NET] {}"

Trong đó:

• sar -n EDEV -f /var/log/sa/sa$(date +%d): Thống kê lỗi network từ file log của ngày hiện tại.
• grep IFIN: Lọc các dòng chứa từ khóa IFIN để tập trung vào lỗi inbound trên các interface.
• xargs -I{} echo "[NET] {}": Thêm tiền tố [NET] vào từng dòng, giúp bạn dễ nhận diện khi xem lại log hoặc khi đẩy kết quả vào công cụ phân tích khác.

Dựa trên các mốc thời gian và mức lỗi ghi nhận được, bạn đối chiếu với log hệ thống, log ứng dụng hoặc cấu hình network để tìm nguyên nhân gây tăng lỗi và độ trễ.

Tạo alias cpuwatch xem CPU realtime

Việc tạo alias giúp rút ngắn câu lệnh sar, từ đó bạn có thể theo dõi CPU theo thời gian thực chỉ với một từ khóa đơn giản thay vì phải gõ đầy đủ tham số mỗi lần. Bạn có thể thiết lập alias cpuwatch theo các bước sau:

Bước 1: Bạn mở file cấu hình shell (ví dụ ~/.bashrc) và thêm dòng sau vào cuối file để tạo lệnh tắt cho sar:

alias cpuwatch='sar -u 1 999'

Bước 2: Bạn nạp lại file cấu hình shell để alias có hiệu lực trong session hiện tại bằng lệnh:

source .bashrc

Bước 3: Sử dụng alias cpuwatch để theo dõi CPU realtime với chu kỳ 1 giây, chạy liên tục cho đến khi bạn dừng bằng Ctrl+C.

cpuwatch

Bước 4: Bạn kiểm tra kết quả hiển thị để chắc chắn alias hoạt động đúng, output sẽ tương đương với việc chạy sar -u 1 999 nhưng thao tác gõ lệnh được rút gọn.

Tối ưu cấu hình thu thập dữ liệu sar

Để dữ liệu sar phục vụ tốt hơn cho việc giám sát và điều tra sự cố, bạn có thể điều chỉnh tần suất thu thập và thời gian lưu log trong các file cấu hình sysstat. Việc tinh chỉnh cần thực hiện cẩn thận để vừa đủ chi tiết, vừa không gây tải hoặc tốn dung lượng log quá mức:

Bước 1: Bạn kiểm tra và mở file cron sysstat để xem lịch thu thập dữ liệu mặc định bằng lệnh:

sudo nano /etc/cron.d/sysstat

Bước 2: Bạn điều chỉnh tần suất chạy job thu thập (sa1) theo nhu cầu, ví dụ giảm từ 10 phút xuống 5 phút để có dữ liệu chi tiết hơn:

*/5 * * * * root /usr/lib/sysstat/sa1 1 1

Bước 3: Thiết lập thêm job tổng hợp báo cáo hàng ngày (sa2 hoặc sar -A) nếu cần file tóm tắt hiệu suất theo ngày:

@daily root /usr/lib/sysstat/sar -A > /var/log/sysstat/summary_report_$(date +\%F).log

Bước 4: Bạn kiểm tra file cấu hình sysstat để đảm bảo chế độ thu thập dữ liệu được bật (tùy distro có thể là /etc/sysconfig/sysstat hoặc /etc/sysstat/sysstat).

sudo nano /etc/sysstat/sysstat

Bước 5: Khởi động lại dịch vụ sysstat sau khi thay đổi cấu hình để các thiết lập mới được áp dụng.

sudo systemctl restart sysstat

Bước 6: Bạn xác minh hoạt động thu thập dữ liệu bằng cách kiểm tra thư mục log và chạy thử một lệnh sar đọc từ file, ví dụ xem CPU của một ngày bất kỳ.

ls -l /var/log/sysstat/
sar -u -f /var/log/sysstat/sa13

Qua bài viết trên, hi vọng bạn đã nắm được cách dùng sar để xem lại lịch sử tải hệ thống, xác định thời điểm và nguyên nhân gây chậm, cũng như các tùy chọn Sar Linux quan trọng cần nhớ để áp dụng vào môi trường thực tế. Nếu bạn muốn hạ tầng ổn định hơn để khai thác tối đa sức mạnh của sar và các công cụ giám sát khác, hãy cân nhắc sử dụng VPS hoặc máy chủ tối ưu cho Linux để vận hành lâu dài.