1. 轮转策略与目标设定
在 Linux 系统中，日志若长期不清理会导致 磁盘空间紧张、系统性能下降，甚至影响日志分析和告警的准确性。因此，建立一套清晰的 轮转策略 和明确的保留目标，是实现稳健日志管理的第一步。本文以一个从轮转到自动化的实操指南为目标，帮助你从手动巡检过渡到可重复执行的自动化流程。你需要关注的核心要素包括 轮转周期、留存时间、以及 压缩与归档策略。通过合理配置，可以确保长期可用的日志数据与可用的磁盘空间并存。
一个实用的轮转策略通常结合系统负载、日志产生速率和合规要求来制定。对于开发环境，较短的轮转周期和更短的保留期可能更符合需求；而在生产环境，往往需要更长的保留期并结合归档。这里的 目标设定包括：设定每日/每周轮转、设定保留天数、启用 日志压缩、以及必要时的归档。通过这些设定，可以实现对日志体积的稳定控制，同时便于日后审计和回溯分析。
如果你希望让系统日志的管理具有可观测性，可以在轮转策略中加入一个明确的监控点：例如定期检查 /var/log 的使用量、记录轮转事件、并在达到阈值时触发告警。监控点的设置有助于尽早发现异常日志增长并调整策略，避免突发性磁盘占用带来的风险。
1.1 按时间轮转
按时间轮转是最常见的策略之一，通常配置为每日或每周轮转。优点是简单易维护，便于对齐日志分析周期；缺点是若日志输出量波动较大，单日轮转可能产生过多小文件，需要额外的归档管理。为了实现稳定性，通常搭配压缩和日期扩展策略。时间粒度的选择应结合实际日志产出节奏来决定。
在日常运维中，常见的做法是使用 daily 或 weekly，以及 dateext 选项来确保轮转后的日志具有明确的日期标签，便于追踪。通过统一的时间轮转，你可以更方便地对历史日志进行搜索和比对。日期标签（dateext）和 文件创建模式一起使用，可以避免覆盖旧日志，提升可追溯性。
# 全局轮转配置示例（示意）
/var/log/*.log {
daily
rotate 14
compress
delaycompress
missingok
notifempty
dateext
create 0640 root utmp
}
1.2 按大小轮转
当日志大小达到一定阈值时再进行轮转，可以更直接地控制单个日志文件的体积，避免单日日志产生大量的文件碎片。这种策略适合日志输出具有明显峰值的场景，例如应用在高并发时段产生大量日志。使用 size 指令可以设定阈值，例如 size 100M；达到该大小就触发一次轮转。优点是对峰值友好，缺点是可能导致轮转频次不稳定，需要结合轮转周期进行协同。
为避免频繁创建小文件，可以将 size 与 rotate、compress 等选项综合使用；必要时可结合 postrotate 触发应用重新打开日志描述符（如重新加载日志服务）。这能确保新的日志写入到新的日志文件中，避免旧日志继续增长。
/var/log/myapp/*.log {
weekly
rotate 8
size 100M
compress
delaycompress
missingok
notifempty
dateext
create 0640 root root
}1.3 存档与长期保留策略
在某些场景下，除了轮转与即时清理外，还需要对历史日志做长期归档以满足审计要求。常见做法是将轮转后的日志归档到压缩包、外部存储，或通过脚本将日志定期搬运到远程备份位置。该过程通常涉及 归档路径规划、归档格式、以及 归档保留策略的设定。通过合理的归档，可以在本地保留较短的保留期，同时保留需要的历史数据。
在归档过程中，正确设置 权限与安全性也十分关键；同时要确保归档过程对正在运行的日志服务影响最小。归档完成后，应更新日志轮转状态，以避免重复归档或丢失日志条目。通过统筹归档和轮转，可以实现长期数据的可控性与可用性。
2. logrotate 的配置与最佳实践
2.1 全局配置与继承
logrotate 的全局配置通常位于 /etc/logrotate.conf，全局选项会被 /etc/logrotate.d 下的包特定配置继承。关键点在于明确的包含关系：include 指令 指向 /etc/logrotate.d 目录，从而实现对各个服务的独立配置。这种结构便于集中管理同时允许按服务进行定制。继承性是实现可维护性的核心。
全局配置还可设置默认轮转周期、默认保留策略、是否压缩以及是否在轮转后执行 postrotate 的命令。正确的继承关系能够确保多数日志文件遵循统一的管理规则，同时个性化需求通过单独的文件覆盖或扩展。
# /etc/logrotate.conf（精简示例）
# 全局选项
daily
rotate 14
compress
delaycompress
missingok
notifempty
create
include /etc/logrotate.d2.2 示例配置文件解析
大多数应用程序会在 /etc/logrotate.d 下放置独立的轮转配置，例如 nginx、apache、rsyslog 等。以下示例展示常见服务的轮转配置片段，便于你理解如何将全局策略向下应用并实现定制化。
在实际部署中，单独的配置文件可以覆盖全局选项，例如覆盖 daily、rotate、以及 postrotate 的行为。通过这样的结构，可以在不修改全局配置的情况下，对某个服务进行快速调整。请注意，后续轮转命中规则会综合全局与服务级设置，优先级以具体文件内的指令为准。
# /etc/logrotate.d/nginx
/var/log/nginx/*.log {
weekly
rotate 12
compress
delaycompress
missingok
notifempty
dateext
create 0640 nginx adm
sharedscripts
postrotate
[ -s /run/nginx.pid ] && kill -s SIGUSR1 `cat /run/nginx.pid`
endscript
}2.3 与系统日志组件的协同
日志组件（如 rsyslog、syslog-ng、journald）通常需要在轮转后重新打开日志文件描述符，以确保新的日志写入到新文件中。你可以在 postrotate 部分添加相应的命令，例如对 rsyslog 或 Nginx 进行 reload，从而实现无缝轮转。postrotate 是实现协同的关键点之一。
此外，某些系统会在轮转时产生短暂的空白期，导致日志丢失。通过配置 delaycompress、sharedscripts，以及在 postrotate 中显式地执行服务重载，可以降低这类风险并提升稳定性。
# rsyslog 与 postrotate 示例
/var/log/syslog {
weekly
rotate 8
compress
delaycompress
missingok
notifempty
postrotate
systemctl reload rsyslog.service >/dev/null 2>&1 || true
endscript
}3. 自动化执行与监控
3.1 使用 cron/systemd timer 调度清理
在现代 Linux 发行版中，logrotate 常由 cron 或 systemd timer 自动触发。系统使用 systemd 的定时器时，OnCalendar=daily 等条件可以实现每天执行的计划；而在使用 cron 时，可将日志轮转任务放在 /etc/cron.daily 或自定义脚本中执行。通过统一的调度，可以确保日志轮转和清理在预期时间点自动发生，减少人工干预。
若你需要自定义调度，可以创建一个简单的执行脚本，并通过 systemd timer 或 cron 进行调度。这样能确保即使在夜间或维护窗口，轮转任务也能按计划执行，避免日志积压造成磁盘压力。自动化调度是实现从轮转到自动化的核心步骤之一。
# systemd timer 与 service（示意）
[Unit]
Description=Run logrotate daily
[Timer]
OnCalendar=daily
Persistent=true
[Install]
WantedBy=timers.target# /etc/systemd/system/logrotate.service
[Unit]
Description=Logrotate
[Service]
Type=oneshot
ExecStart=/usr/sbin/logrotate /etc/logrotate.conf#!/bin/sh
# /etc/cron.daily/logrotate
/usr/sbin/logrotate /etc/logrotate.conf3.2 自定义清理脚本要点
除了 logrotate 自带的轮转能力，很多场景还需要自定义清理脚本来处理超出轮转策略之外的日志，例如按天清理特定目录、归档历史日志、或清理临时日志缓存。设计脚本时，关注点包括 安全性、幂等性、以及对日志服务的最小干扰。你应确保脚本在失败时不会意外删除重要数据，并且在多次执行时不产生重复清理。
常见做法是在脚本中加入严格的错误处理、日志记录以及回滚机制，例如输出清理动作到专用审计日志、在失败时发送告警、并确保只有符合条件的文件才会被删除。通过这种方式，可以实现对非轮转日志的高效清理，同时保持对核心日志的保护。
#!/bin/bash
set -euo pipefail
LOGDIR="/var/log/myapp"
DAYS=30
excludes="archive|tmp"
find "$LOGDIR" -type f -name '*.log' ! -name '*archive*' -mtime +"$DAYS" -print -delete
3.3 监控与告警
自动化的清理需要可靠的监控与告警机制来防止异常情况。你可以把轮转执行状态写入日志、或者导出到监控系统进行告警。常见的做法包括：记录 /var/lib/logrotate/status 的变更、输出执行结果到系统日志、以及通过 Webhook 将告警信息发送到运维平台。告警策略应覆盖轮转失败、磁盘使用异常、以及轮转后端服务重载失败等场景。
示例做法是结合简单的脚本检测日志轮转是否正常执行，并在异常时通过邮件、Slack、Teams 等渠道发送通知。这样可以在问题初期就获得响应，避免日志丢失或磁盘耗尽的风险。
#!/bin/bash
LOGSTAT="/var/lib/logrotate/status"
if [ ! -s "$LOGSTAT" ]; then
echo "[$(date)] logrotate status missing or empty" >> /var/log/logrotate-monitor.log
# 触发告警（示例，具体实现可结合你的告警系统）
curl -s -X POST -H 'Content-type: application/json' \
--data '{"text":"Logrotate status is empty"}' https://hooks.example.com/alerts
fi
4. 进阶与故障排查
4.1 常见问题排查
遇到日志未轮转、或新文件未被写入的问题时，首先检查 logrotate 的执行状态，以及是否正确触发：可使用 logrotate -d 进行调试、logrotate -v 查看详细日志。若轮转未按预期执行，重点排查全局与服务级配置的优先级和冲突点。调试模式可以帮助你快速定位问题。
另外，若轮转后应用未重新打开日志描述符，请确认 postrotate 的命令是否正确执行，或目标服务的 reload/restart 是否生效。确保轮转和应用重载之间的时序关系正确，是稳定运维的关键。
logrotate -d /etc/logrotate.conf
logrotate -v /etc/logrotate.conf4.2 调优与备份
在长期运行中，可能需要对轮转配置进行微调以适应业务节奏。常见的调优包括调整 轮转周期、保留日志的天数、以及对高峰期进行临时加密与压缩等。将关键日志进行本地快速轮转，同时定期将旧日志归档到外部备份，能够兼顾可用性与容量。
为了确保灾难场景下的数据可用性，建议建立一个定期的备份流程，将轮转后的归档日志复制到远程存储或对象存储，确保即使本地磁盘发生故障也能快捷还原。通过这样的策略，可以实现从轮转到自动化的全面日志管理体系。
