rsyslog轮转配置与maxsize优化技巧

学习文章要努力，但是不要急！今天的这篇文章《rsyslog 轮转配置与 maxsize 优化方法》将会介绍到等等知识点，如果你想深入学习文章，可以关注我！我会持续更新相关文章的，希望对大家都能有所帮助！

不会。$ActionFileDefaultTemplate仅控制日志内容格式，与maxsize轮转逻辑无关；轮转由logrotate或rsyslog内置配置驱动，模板不影响其生效。

rsyslog 的 $ActionFileDefaultTemplate 会影响 maxsize 生效吗？

不会。这个模板只控制日志内容的格式（比如时间戳、主机名、程序名等字段是否包含），和文件大小轮转逻辑完全无关。轮转由 logrotate 或 rsyslog 自身的 imfile/omfile 模块配置驱动，跟模板无关。

常见误操作是改了模板后发现 maxsize 不生效，其实问题出在别处——比如用了 logrotate 管理 /var/log/messages，但又在 rsyslog 配置里加了 $ActionFileMaxSize，结果两者冲突，实际轮转行为取决于谁先触发、谁有权限重命名文件。

用 rsyslog 内置 $ActionFileMaxSize 轮转时，必须配 $ActionFileEnableSync 吗？

不是必须，但强烈建议开启。因为 $ActionFileMaxSize 触发轮转时，rsyslog 会尝试 rename 当前文件并新建一个，但如果写入缓存未刷盘，就可能丢日志或轮转后新文件开头缺内容。

• $ActionFileEnableSync on：每次写入都调用 fsync()，确保落盘，轮转更可靠，但 I/O 压力略升
• $ActionFileEnableSync off（默认）：依赖系统页缓存刷新，高负载下易出现轮转瞬间丢失最后几百字节
• 若日志量大且对完整性敏感（如审计场景），务必开 sync；若只是调试日志，可关以换性能

logrotate 配置里 maxsize 和 size 有什么区别？

本质一样，size 是 logrotate 2.10+ 引入的新关键字，maxsize 是旧名，两者功能完全等价，都表示“单个日志文件达到该大小即触发轮转”。但注意：

• 不能同时写 size 100M 和 maxsize 100M，后者会被忽略
• 单位支持 k、M、G（大小写敏感，m 会被当成字节）
• 如果 /var/log/messages 正被 rsyslog 持续写入，logrotate 必须配 copytruncate，否则轮转后 rsyslog 还往原 inode 写，导致磁盘不释放
• 没配 delaycompress 时，compress 会立刻压缩刚轮转出的文件，可能和 rsyslog 写入竞争，建议加 delaycompress

为什么 logrotate 设了 size 50M，但 /var/log/messages 还是涨到 200MB 才轮转？

最常见原因是 rsyslog 没收到 SIGHUP 信号，没重新打开文件句柄。logrotate 默认只做文件移动，不通知服务进程。

• 检查 /etc/logrotate.d/rsyslog 是否包含 postrotate ... invoke-rc.d rsyslog rotate ... endscript 或等效的 systemctl kill --signal=SIGHUP rsyslog
• 手动测试：轮转后执行 kill -HUP $(pidof rsyslogd)，再看新日志是否写入 messages 而非 messages.1
• 另一个可能是磁盘满或 inodes 耗尽，导致 logrotate 创建新文件失败，但错误不报在终端，需查 /var/lib/logrotate/status 时间戳和 journalctl -u logrotate

轮转逻辑本身不复杂，但 rsyslog 和 logrotate 两套机制混用时，信号、权限、文件锁、缓存刷新这四个点任何一个没对齐，就会让 maxsize 形同虚设。

理论要掌握，实操不能落！以上关于《rsyslog轮转配置与maxsize优化技巧》的详细介绍，大家都掌握了吧！如果想要继续提升自己的能力，那么就来关注golang学习网公众号吧！