debian日志为何缺失

在 Debian 系统中，“日志缺失”是一个比较常见的问题，原因可能涉及 配置、服务状态、存储介质、权限甚至系统异常。下面按常见原因 → 排查方法 → 解决办法系统说明。

一、最常见原因：rsyslog / systemd-journald 未运行

1. rsyslog 没启动（传统日志）

Debian 默认使用 rsyslog 写 /var/log/syslog、/var/log/messages 等。

systemctl status rsyslog

如果状态是 inactive (dead)：

sudo systemctl enable --now rsyslog

2. systemd-journald 异常（journal 日志）

journalctl

如果提示：

• No journal files were found
• Failed to read journal

检查：

systemctl status systemd-journald

启动：

sudo systemctl restart systemd-journald

二、日志被“主动关闭”或“重定向”

1. rsyslog 配置被改

检查：

cat /etc/rsyslog.conf
ls /etc/rsyslog.d/

常见问题：

• *.info;mail.none;authpriv.none 被误删
• 日志被注释掉

2. systemd 禁用了持久化 journal

默认 Debian 可能不保存重启前的日志。

查看：

cat /etc/systemd/journald.conf | grep Storage

若看到：

Storage=none

或

Storage=volatile

改为：

Storage=persistent

然后：

sudo mkdir -p /var/log/journal
sudo systemctl restart systemd-journald

三、日志被 logrotate 清掉或误删

1. logrotate 配置过激

cat /etc/logrotate.d/rsyslog

常见问题：

• rotate 0
• size 1k
• daily + 很短保留时间

2. /var/log 被手动清空

ls -l /var/log

如果文件大小为 0 或不存在：

sudo touch /var/log/syslog
sudo chown syslog:adm /var/log/syslog
sudo systemch restart rsyslog

四、磁盘或 inode 问题

1. 磁盘满了

df -h

如果 /var 或 / 是 100%：

• 清理日志
• 扩大分区

2. inode 用尽（小文件太多）

df -i

如果是 100%：

find /var/log -type f | wc -l

五、权限或 SELinux/AppArmor 问题（较少见）

1. 文件权限异常

ls -l /var/log/syslog

正常应为：

-rw-r-----  syslog adm

修复：

sudo chown syslog:adm /var/log/syslog
sudo chmod 640 /var/log/syslog

六、系统异常导致日志未写入

1. 突然断电 / 内核崩溃

• journal 未 flush
• rsyslog 未同步

可检查：

dmesg

2. 容器 / chroot 环境

• 容器通常 没有自己的 rsyslog
• journal 可能不可用

七、快速自查清单（推荐顺序）

systemctl status rsyslog
systemctl status systemd-journald
journalctl -xe
df -h
df -i
ls -l /var/log
cat /etc/systemd/journald.conf | grep Storage

八、如果你愿意，我可以进一步帮你

你可以补充：

1. 缺失的是哪类日志？
   • /var/log/syslog
   • journalctl
   • 某个服务日志
2. Debian 版本（cat /etc/debian_version）
3. 是 重启后消失 还是 一直没日志

我可以直接帮你定位是哪一种情况。