2026 Linux 日志管理入门：journalctl 与 logrotate 实操指南

日志不会自己变小，磁盘会被它吃满

刚上手 VPS 的常见剧情：网站跑着跑着，磁盘突然满了，网站打不开，一看 /var/log 或者 journal 占了好几个 G。日志本身不产生价值，但它会一直写。这一篇把「查日志」和「管日志」两件事讲明白：前者用 journalctl，后者用 logrotate，都是 systemd 系发行版（Ubuntu、Debian、CentOS 等）自带的东西，不用装额外软件。

journalctl：把日志当数据库查

在 systemd 系系统里，服务日志默认进 journal。journalctl 不带参数会把所有日志从头打印一遍，真正干活靠过滤参数：

Linux 日志管理手绘插画 AI 示意图·以官网实际界面为准

需求	命令
看某个服务的日志	`journalctl -u nginx`
实时跟踪某个服务	`journalctl -f -u nginx`
只看错误及以上级别	`journalctl -p err`
看内核日志	`journalctl -k`
看上一次启动的日志	`journalctl -b -1`
按时间范围过滤	`journalctl --since "1 hour ago"`
输出不分页（适合脚本）	`journalctl --no-pager`
看 journal 占用磁盘	`journalctl --disk-usage`

几个实用组合：排查服务起不来的问题，先 journalctl -u 服务名 -b 看本次启动的日志；进程在跑但行为异常，journalctl -f -u 服务名 挂着实时看；想确认是不是 OOM 杀的，journalctl -k | grep -i oom。日志默认会分页（less），脚本里记得加 --no-pager。

logrotate：日志的定时清理

journal 有 systemd-journald 自动管理配额，但传统文本日志（Nginx、PHP、应用自己写的 log）不会自动变小，靠 logrotate 轮转。它的逻辑是：按时间或大小把当前日志改名归档，压缩旧的，删掉超过保留数量的，然后让应用重新打开日志文件。

机架式服务器硬件特写

logrotate 的主配置在 /etc/logrotate.conf，include /etc/logrotate.d 会加载目录下每个应用的独立配置。一个典型的 Nginx 配置长这样：

/var/log/nginx/*.log {
    weekly
    rotate 4
    compress
    delaycompress
    missingok
    notifempty
    copytruncate
}

weekly：每周轮转一次（也可 daily、monthly）
rotate 4：保留 4 份旧日志
compress / delaycompress：压缩，且延迟一轮再压（给日志写入进程缓冲时间）
missingok：文件不存在不报错
notifempty：日志为空就不转
copytruncate：先复制再清空原文件，适合那种没法通过信号重新打开日志的应用

能用信号重载日志的应用（Nginx 是 nginx -s reopen），可以用 postrotate 脚本让它在轮转后重新打开日志，这样不会丢日志。要注意手册里写明的几个坑：size 100k 这类大小条件与时间条件互斥，写了 size 就按大小转；sharedscripts 可以让一个段里多个日志只跑一次脚本；通配符要小心，/var/log/*/*.log 可能把已经轮转过的旧文件也卷进去。

日志占满磁盘时的应急顺序

发现磁盘爆满，先看占大头的是什么：journalctl --disk-usage 查 journal 占用，du -sh /var/log/* 查文本日志。应急三步：journal 可以 journalctl --vacuum-size=200M 只留最近 200M（或 --vacuum-time=7d 只留 7 天）；文本日志先 logrotate -f /etc/logrotate.conf 强制转一轮；还是不够就手动删最老的归档，rm 前先 ls -lh 确认删的是哪个文件。

数据中心机房广角