如何清理Syslog缓存数据

清理 Syslog 缓存/日志数据 的方法取决于你使用的 Linux 发行版、Syslog 实现（rsyslog / syslog-ng / journald）以及你所说的“缓存”具体指什么（日志文件、内存缓存、还是 systemd-journal）。下面按常见场景说明。

一、先确认你用的是哪种 Syslog

ps -ef | grep -E 'rsyslog|syslog-ng|systemd-journal'

常见情况：

• rsyslog：最常见（Ubuntu / CentOS / RHEL / Debian）
• syslog-ng：部分发行版
• systemd-journald：现代系统（journalctl）

二、清理 Syslog 日志文件（最常见）

1️⃣ 查看当前日志大小

du -sh /var/log/syslog
du -sh /var/log/messages

2️⃣ 清空日志文件（不删除文件）

✅ 推荐方式

sudo truncate -s 0 /var/log/syslog
sudo truncate -s 0 /var/log/messages

或：

sudo > /var/log/syslog

不会中断 rsyslog 服务

3️⃣ 删除旧日志（轮转后的）

sudo rm -f /var/log/syslog.*
sudo rm -f /var/log/messages.*

三、使用 logrotate（正确姿势 ✅）

Linux 默认已配置日志轮转，不要手动乱删。

查看配置

cat /etc/logrotate.d/rsyslog

手动执行一次轮转

sudo logrotate -f /etc/logrotate.conf

四、systemd-journal（journalctl）清理

如果你指的是 systemd 日志缓存：

1️⃣ 查看日志占用

journalctl --disk-usage

2️⃣ 按大小清理

sudo journalctl --vacuum-size=100M

3️⃣ 按时间清理

sudo journalctl --vacuum-time=7d

4️⃣ 永久限制大小（推荐）

编辑：

sudo vim /etc/systemd/journald.conf

设置：

SystemMaxUse=200M
RuntimeMaxUse=100M

重启：

sudo systemctl restart systemd-journald

五、rsyslog 内存缓存（少见）

rsyslog 默认 没有用户可感知的“缓存”，如果你是指：

• 日志写入延迟
• 日志堆积在内存中

可尝试：

sudo systemctl restart rsyslog

六、Docker / 容器环境（补充）

如果是 Docker 容器日志：

docker system prune

或限制日志大小：

{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "100m",
    "max-file": "3"
  }
}

七、清理前建议（重要）

✅ 生产环境

• 先备份
• 不要直接 rm -rf /var/log
• 优先使用 logrotate 或 journalctl --vacuum

✅ 排查问题前

• 先保存日志再清理

八、快速总结

如果你愿意，可以告诉我：

• 系统版本（ubuntu 20.04 / centos 7 / 8）
• 是否服务器 / 容器
• “缓存”具体表现（磁盘满？内存高？）

我可以给你 精确命令。