Linux syslog日志存储常见策略
日志轮转是防止日志文件无限增长、占用过多磁盘空间的核心策略。通过定期将当前日志文件归档并创建新文件，确保日志文件大小可控。常用工具为logrotate，可配置轮转周期（如每天、每周）、保留数量（如保留7天日志）、压缩选项等。例如，针对/var/log/syslog的配置可设置为：每天轮转、保留7个归档文件、压缩旧文件（compress）、仅当文件非空时轮转（notifempty）。
为节省磁盘空间，轮转后的旧日志文件通常会被压缩。logrotate支持通过compress选项自动调用gzip等工具压缩归档文件（如syslog.1.gz）。部分配置还会使用delaycompress延迟压缩，直到下一次轮转（避免压缩当天仍在写入的日志）。
根据日志信息的重要程度划分级别（如emerg紧急、alert警报、crit严重、err错误、warning警告、notice通知、info信息、debug调试），将不同级别日志存储到不同文件中。例如，将错误日志（err及以上）单独存入/var/log/errors.log，减少无关日志的存储占用。
将不同类型日志（如系统日志、安全日志、应用程序日志）分离到独立文件中，提升日志可读性和管理效率。例如，通过rsyslog或syslog-ng的配置，将/var/log/auth.log专门记录认证相关日志，/var/log/kern.log记录内核日志，避免单一文件过大。
定期删除过期日志文件以释放磁盘空间。可通过find命令结合-mtime选项查找并删除指定天数前的日志（如find /var/log -name "*.log" -mtime +30 -delete，删除30天前的.log文件）。部分场景下，也会通过logrotate的maxage参数自动清理超期日志。
将本地日志发送到远程集中式日志服务器（如使用rsyslog的*.* @remote_server_ip:514配置UDP传输，或*.* @@remote_server_ip:514配置TCP传输），减轻本地存储压力。远程服务器可统一收集、存储和分析多台设备的日志，同时提高日志安全性（避免本地日志被篡改）。
通过logrotate的backup参数或手动复制日志文件到备份目录（如/backup），定期备份重要日志。例如，使用cp /var/log/syslog /backup/syslog_$(date +%Y%m%d).bak命令创建带时间戳的备份文件。备份文件可用于故障排查、审计或灾难恢复。
通过模板定义日志消息的格式（如rsyslog的template("${ISODATE} ${HOST} ${LEVEL}: ${MESSAGE}\n")或syslog-ng的template("${TIMESTAMP} ${HOSTNAME} ${PROGRAM}: ${MESSAGE}\n")），包含时间戳、主机名、程序名、消息内容等关键信息。格式化后的日志更易于后续分析（如使用grep、awk等工具提取信息）。
