Syslog日志为何突然增大

Syslog 日志突然增大，通常不是单一原因，而是某类事件被高频触发或日志配置/转发异常导致的。可以按下面思路快速定位。

一、最常见原因（按出现频率）

1. 某服务/应用出现“疯狂报错”

这是最常见原因。

• 服务进入异常循环，不断写日志
• 例如：
  • 网络抖动 → 重连失败 → 每秒打印错误
  • 磁盘满 → 应用反复尝试写文件
  • 认证失败（SSH、数据库、LDAP）

✅ 排查方式：

# 查看最近日志增长
ls -lh /var/log/syslog*

# 找出高频日志来源
grep -c "" /var/log/syslog | tail

或者：

awk '{print $5}' /var/log/syslog | sort | uniq -c | sort -nr | head

2. 日志级别被调低（Debug / Info）

• 原本是 warning/error
• 被误改为 debug
• 瞬间日志量暴涨

✅ 检查：

grep -R "debug" /etc/rsyslog.conf /etc/rsyslog.d/

3. 日志轮转失效（logrotate 没生效）

• 日志文件一直没被切割
• 看起来像“突然变大”，其实是长期未轮转

✅ 检查：

ls -lh /var/log/syslog*
cat /etc/logrotate.d/rsyslog

常见失效原因：

• logrotate 定时任务被禁用
• 磁盘满导致轮转失败
• 文件权限异常

4. 系统被扫描 / 攻击

• SSH 暴力破解
• 端口扫描
• 防火墙日志未限制

✅ 示例：

grep "Failed password" /var/log/syslog | wc -l

5. 网络/服务抖动引发连锁反应

例如：

• DNS 不可用 → 大量解析失败
• NTP 异常 → 时间同步失败
• 后端服务不可达 → 重试风暴

6. 日志转发或采集异常

• rsyslog / journald 阻塞
• 日志被反复写入
• 远程 syslog 服务器不可达

✅ 检查：

systemctl status rsyslog
journalctl -u rsyslog -p err

二、快速定位“谁在写日志”

1️⃣ 实时查看日志内容

tail -f /var/log/syslog

2️⃣ 按进程统计（如果有 rsyslog）

lsof /var/log/syslog

3️⃣ 查看 journal 日志量

journalctl --disk-usage

三、紧急处理建议（生产环境）

✅ 临时止血

# 重启 rsyslog
systemctl restart rsyslog

# 临时降低日志级别
# 改回 warning/error

✅ 防止磁盘被写满

# 限制 journal 大小
journalctl --vacuum-size=500M

四、推荐的标准配置（防止再次发生）

• ✅ 启用 logrotate
• ✅ 禁止 debug 日志长期开启
• ✅ 对 SSH / 防火墙日志做 rate limit
• ✅ 监控 /var/log 使用率

五、如果你愿意，我可以帮你精准定位

你可以直接贴出：

1. /var/log/syslog 的 前 20 行
2. 系统类型（Ubuntu / CentOS / 容器？）
3. 日志突然增大的时间点

我可以帮你直接判断是哪一类问题，而不是泛泛而谈。