Syslog日志过大如何处理

Syslog 日志过大是生产环境中非常常见的问题，通常可以从 收集侧、存储侧、清理侧、分析侧 四个维度来处理。下面按「可立即执行 → 长期治理」的顺序说明。

一、立即缓解（止血）

1. 查看日志占用情况

du -sh /var/log/*
journalctl --disk-usage

2. 临时清理大日志

# 清空 syslog（CentOS/RHEL）
> /var/log/messages

# Ubuntu/Debian
> /var/log/syslog

# systemd journal
journalctl --vacuum-size=500M

⚠️ 清空前建议先备份或确认无审计需求

二、控制日志生成（治本）

1. 调整 rsyslog / syslog-ng 配置

只记录必要级别：

*.warning;mail.none;authpriv.none;cron.none    /var/log/messages

丢弃无用日志：

:msg, contains, "heartbeat" stop

2. 限制重复日志

rsyslog 支持抑制重复：

$RepeatedMsgReduction on

三、日志轮转（最关键）

1. 配置 logrotate

示例 /etc/logrotate.d/syslog：

/var/log/messages {
    missingok
    notifempty
    size 100M
    rotate 5
    compress
    delaycompress
    postrotate
        /usr/bin/systemctl kill -s HUP rsyslog.service
    endscript
}

常用策略：

• size 100M 或 daily
• rotate 7~30
• compress

2. systemd journal 限制

# /etc/systemd/journald.conf
SystemMaxUse=500M
MaxRetentionSec=7day

然后：

systemctl restart systemd-journald

四、集中化与归档（推荐）

1. 远程日志

*.* @@logserver:514

2. 使用日志系统

• ELK / EFK
• Loki + Promtail
• Graylog
• Splunk

优点：

• 本地只留短期
• 支持检索、告警、压缩存储

五、异常排查（防止“真问题”）

日志暴涨常因：

• 应用死循环打印
• 网络抖动导致重试日志
• cron / systemd 频繁失败

快速定位：

journalctl -p err -b
grep -c "" /var/log/syslog
tail -f /var/log/syslog

六、总结建议

✅ 短期：清空 + logrotate
✅ 中期：限制级别 + journal 限制
✅ 长期：集中日志 + 监控告警

如果你愿意，可以告诉我：

• 系统（CentOS / Ubuntu / 容器？）
• 日志大小（GB 级？）
• 是否合规审计要求

我可以直接帮你写 可用配置。