logrotate 默认不按天轮转,需确认 /etc/logrotate.conf 中 include /etc/logrotate.d 未被注释,并检查 /etc/logrotate.d/{syslog,rsyslog} 是否存在且含 daily 指令;手动用 -d 和 -f -v 验证规则加载与执行,同时确保 postrotate reload 成功以释放磁盘空间。

logrotate 默认就按天轮转系统日志,但前提是配置没被改坏、规则真被加载了。别急着写新配置,先确认系统自带的那套是否在干活。
检查 /etc/logrotate.conf 里有没有 include /etc/logrotate.d
很多故障根源就在这行被注释了。打开 /etc/logrotate.conf,找这行:
include /etc/logrotate.d
如果前面有 #,删掉。否则 /etc/logrotate.d/syslog(或 rsyslog)这类文件根本不会生效。
顺手确认下:ls /etc/logrotate.d/ | grep -E "(syslog|rsyslog)",至少得有一个匹配项。没有?说明系统日志轮转压根没配——不是 logrotate 不行,是没人告诉它该管谁。
看 /etc/logrotate.d/rsyslog 或 /etc/logrotate.d/syslog 里有没有 daily
不同发行版名字略有差异:CentOS/RHEL 多叫 /etc/logrotate.d/syslog,Debian/Ubuntu 通常是 /etc/logrotate.d/rsyslog。内容大体长这样:
/var/log/syslog
{
daily
missingok
rotate 7
compress
delaycompress
notifempty
create 640 syslog adm
sharedscripts
postrotate
invoke-rc.d rsyslog rotate > /dev/null
endscript
}
重点看三处:
-
daily必须存在,且不能和size写在同一块里(logrotate 只认第一个条件) -
create的权限和属主要匹配 rsyslog 进程实际运行身份(syslog:adm或root:root),否则新日志建出来,rsyslog 写不进去 -
postrotate里 reload 命令得能执行成功;systemd 系统建议用systemctl kill --signal=USR1 rsyslog替代invoke-rc.d
验证配置是否真会触发 daily 轮转
别等明天凌晨。手动跑一次,加 -d 看解析逻辑,再加 -f -v 强制执行:
sudo logrotate -d /etc/logrotate.conf
输出里必须出现类似 considering log /var/log/syslog 和 log does not need rotating(说明规则识别到了,只是今天还没到点);如果连 considering 都没看到,就是路径没匹配上或 include 失效。
再试强制轮转:
sudo logrotate -f -v /etc/logrotate.d/rsyslog
成功的话你会立刻看到 /var/log/syslog.1 出现,原 /var/log/syslog 变空。注意:copytruncate 不要和 postrotate reload 同时用——rsyslog 支持 USR1 信号 reopen 日志文件,用 copytruncate 反而可能丢一行日志。
为什么轮转后磁盘空间没立刻释放
这是最常被误判为“logrotate 没起作用”的地方。原因只有一个:rsyslog 进程还握着旧日志文件的 inode 句柄,即使你 mv 或 gzip 了它,磁盘块仍被占用。
解决办法只有两个:
- 确保
postrotate里的 reload 命令真实执行成功(查journalctl -u rsyslog看有没有报错) - 或者临时用
copytruncate(仅当应用不支持信号重开日志时才考虑)
别用 rm -f /var/log/syslog* 清空间——删了也白删,句柄还在,空间不释放;等 reload 成功后,旧文件自动被内核回收。
/var/lib/logrotate/status 里记录的时间戳是否在更新。这个文件决定下一次轮转何时触发,如果它卡在三天前,cron 就永远不会再跑这一条——哪怕配置全对。











