Katalog/var/log załadowany.

[spawel55]

Witam wszystkich.
Zainstalowany mam system Linux Mint  20.2 Mate a moim problemem jest błyskawiczne zapełnianie się katalogu log z plikiem "syslog" który urasta do nawet kilkudziesięciu GB oraz katalog Journal który osiąga kilka a nawet kilkanaście GB. I wszystko to dzieje się w ciągu dwóch, trzech dni.
Proszę o jakąś pomoc co można zrobić.

[Paweł Kraszewski]

Po pierwsze: co jest w tych logach. Żaden z kilkunastu komputerów pod moją opieką nie generuje takich ilości logów.
Może umiera ci jakiś komponent sprzętowy (dysk, RAM, chłodzenie) i logi zapychają się "uprzejmie donoszę, że Xxx się zjebao", którego nikt nie czyta...
Może firewall coś loguje a masz DDOSa.
Może w czymś włączyłeś logi debugowe.

[marcin'82]

Pokaż ostrzeżenia / błędy przynajmniej z ostatniego uruchomienia:

Kod: [Zaznacz]

sudo su -

Kod: [Zaznacz]

journalctl -q -b -p 3..3

Kod: [Zaznacz]

journalctl -q -b -p 4..4

Pokaż wynik (-exec zamiast -ls dla wygodniejszego pokazania wielkości plików):

Kod: [Zaznacz]

find /var/log -type f -exec ls -lah {} \;

Jak to wykonasz to wstaw wynik każdego polecenia w osobnym tagu CODE.

[spawel55]

Oczywiście, że wykonam te polecenia ale muszę trochę poczekać gdyż tamte musiałem usunąć bo system już ledwo zipał. Jeszcze dopowiem, że to zapełnienie dysku nastąpiło na świeżutko postawionym systemie po około trzech dniach. Nic nie było kombinowane ani instalowane, tylko internet.
Na początku myślałem, że może coś się w nowym jądrze dzieje więc zszedłem na niższą wersję ale ten sam skutek.

[marcin'82]

Zresztą jak będzie coś ważnego to i tak się pokaże. Najpierw ucywilizuj journald:

Kod: [Zaznacz]

sudo su -

Kod: [Zaznacz]

systemctl stop systemd-journald

Kod: [Zaznacz]

find /var/log/journal -type f -delete

Kod: [Zaznacz]

mkdir -p /etc/systemd/journald.conf.d/

Kod: [Zaznacz]

cat <<EOF >/etc/systemd/journald.conf.d/custom.conf
Storage=persistent
SplitMode=none
MaxLevelStore=info
SystemMaxUse=256M
EOF

Kod: [Zaznacz]

systemctl start systemd-journald

Druga część instrukcji - dotyczy rsyslog.

Kod: [Zaznacz]

systemctl stop rsyslog

Kod: [Zaznacz]

find /var/log -maxdepth 1 -type f -exec truncate -s0 {} \;

Kod: [Zaznacz]

systemctl start rsyslog

[spawel55]

Pliki się dzisiaj powiększyły "syslog" 13.5 GB, i "journal" 4 GB i przesyłam je w załącznikach.
Przepraszam, że w takiej formie ale w innej nie potrafię. Ale na naukę nigdy nie jest za późno.

[Paweł Kraszewski]

Bardziej zainteresuje nas koniec logu, niż jego początek...

Kod: [Zaznacz]

find /var/log -size +1G -exec tail -n250 '{}' ';'

Po ludzku - znajdź wszystkie pliki większe niż 1GB i wyświetl ostatnie 250 linii.

[spawel55]

Niestety to polecenie już nie działa Panie Pawle gdyż pliki zostały wyzerowane.
A z załączonych załączników o numerze 3 podaje wielkość plików m.in ten 13.5 GB

[marcin'82]

Dobra, pokaż wynik polecenia czy wszystko zostało dobrze zrobione:

Kod: [Zaznacz]

systemctl status systemd-journald

Zainstaluj i uruchom midnight commander:

Kod: [Zaznacz]

sudo mc

Przejdź do katalogu /var/log i pousuwaj wszystkie pliki z końcówką .gz i .1. Zobaczymy co się objawi po kilku dniach i jakiej wielkości będą pliki. Zaznaczenie masz pod Insert, usunięcie z potwierdzeniem pod F8.

[spawel55]

Wynik polecenia:

spawel@spawel-Latitude-E4300:~$ sudo systemctl status systemd-journald
[sudo] hasło użytkownika spawel:           
● systemd-journald.service - Journal Service
     Loaded: loaded (/lib/systemd/system/systemd-journald.service; static; vendor preset: enabled)
     Active: active (running) since Mon 2021-10-04 15:25:32 CEST; 6h ago
TriggeredBy: ● systemd-journald.socket
             ● systemd-journald-dev-log.socket
             ● systemd-journald-audit.socket
       Docs: man:systemd-journald.service(
             man:journald.conf(5)
   Main PID: 292 (systemd-journal)
     Status: "Processing requests..."
      Tasks: 1 (limit: 6968)
     Memory: 13.7M
     CGroup: /system.slice/systemd-journald.service
             └─292 /lib/systemd/systemd-journald

paź 04 15:25:32 spawel-Latitude-E4300 systemd-journald[292]: Journal started
paź 04 15:25:32 spawel-Latitude-E4300 systemd-journald[292]: Runtime Journal (/run/log/journal/7a0781c5129d4f>
paź 04 15:25:32 spawel-Latitude-E4300 systemd-journald[292]: Time spent on flushing to /var/log/journal/7a078>
paź 04 15:25:32 spawel-Latitude-E4300 systemd-journald[292]: System Journal (/var/log/journal/7a0781c5129d4f8>
Warning: journal has been rotated since unit was started, output may be incomplete.

[marcin'82]

Najważniejszego nie ma :d

Kod: [Zaznacz]

journalctl --disk-usage

Utworzyłeś ten plik co pisałem wcześniej?

Kod: [Zaznacz]

/etc/systemd/journald.conf.d/custom.conf

[spawel55]

spawel@spawel-Latitude-E4300:~$ sudo journalctl --disk-usage
[sudo] hasło użytkownika spawel:           
Archived and active journals take up 40.0M in the file system.

A ten podany plik został utworzony.

[spawel55]

Szanowni Panowie
Od ostatniego wpisu do dzisiaj system zachowywał się normalnie tak jak powinien.
Ale przed chwilą odpaliłem sprzęt i moim oczom ukazał się piękny widok "syslog1" ma 15,8 GB a "journal" 4,1 GB.
Jakieś inne pomysły?

[robson75]

https://wiki.manjaro.org/index.php?title=Limit_the_size_of_.log_files_%26_the_journal

[marcin'82]

spawel55

Teraz podaj wynik polecenia, o wynik którego pytał Paweł Kraszewski:

Kod: [Zaznacz]

find /var/log -size +1G -exec tail -n250 '{}' ';'

Podaj też wynik takich poleceń:

Kod: [Zaznacz]

journalctl -q -p 3..3

Kod: [Zaznacz]

journalctl -q -p 4..4