Syslog为何占用高内存

Syslog 占用高内存通常不是“它本身设计如此”，而是某些条件触发了异常行为。下面按最常见 → 较少见的顺序，帮你系统排查。

一、最常见原因（90% 都在这里）

1️⃣ 日志量暴增（最常见）

Syslog 本身不“吃内存”，但日志量太大时，它会：

• 缓存大量日志
• 频繁写磁盘
• 与 journald / rsyslog / syslog-ng 互相推日志

典型场景

• 程序死循环打日志
• 网络抖动导致大量错误日志
• 防火墙 / 交换机 / 路由器疯狂发 syslog
• 容器、K8s 节点日志未限制

排查

# 查看最近日志速率
journalctl -f

# 查看哪个服务日志最多
du -sh /var/log/*

2️⃣ Syslog 守护进程卡死或死锁

rsyslog / syslog-ng 在以下情况会内存持续增长：

• 日志输出目标不可达（远程 syslog 服务器断连）
• 磁盘满
• 文件被删除但仍被打开

典型表现

• syslog 进程 RES 内存持续增长
• 日志不再写入文件，但进程没退出

排查

ps aux | grep syslog
lsof -p <pid>

3️⃣ 日志文件被删除，但进程仍持有

这是经典“幽灵内存”问题。

lsof +L1

如果看到：

rsyslogd  1234  ...  /var/log/messages (deleted)

✅ 内存不会释放，直到进程重启。

4️⃣ journald + rsyslog 双重缓冲

systemd-journald 和 rsyslog 同时工作时：

• journald 先缓存
• rsyslog 再读
• 日志量大时内存翻倍

检查

systemctl status systemd-journald
systemctl status rsyslog

二、配置问题导致内存异常

5️⃣ rsyslog 队列配置不当

错误示例（内存无限增长）：

$ActionQueueType LinkedList
$ActionQueueFileName queue
$ActionResumeRetryCount -1

✅ 建议：

• 限制队列大小
• 使用磁盘辅助队列

6️⃣ UDP syslog 无流控

UDP syslog 没有背压机制：

• 网络抖动
• 大量设备同时发日志
• rsyslog 内存暴涨

✅ 建议：

• 改用 TCP
• 限制接收速率

三、系统层面原因

7️⃣ 系统内存回收异常

• slab 内存占用高
• dentry / inode 缓存没释放

slabtop
cat /proc/meminfo

四、快速定位 checklist（推荐顺序）

✅ 1. 看进程

top -p $(pidof rsyslogd)

✅ 2. 看日志速度

journalctl -f

✅ 3. 看是否有 deleted 文件

lsof +L1

✅ 4. 看磁盘是否满

df -h

✅ 5. 临时缓解

systemctl restart rsyslog

五、常见解决方案总结

六、如果你愿意，我可以帮你精准定位

你可以直接贴出：

1. ps aux | grep syslog
2. free -h
3. df -h
4. 系统版本（CentOS / Ubuntu / 容器？）

我可以直接告诉你现在是哪一种情况，以及该改哪一行配置。