Rsyslog调试日志文件膨胀问题分析与解决方案

问题现象

在Rsyslog运行过程中，系统管理员发现rsyslog-debug.log文件体积快速增长，导致根分区存储空间被占满。通过日志内容分析，可见系统正在持续记录大量详细的调试信息，包括消息处理流程、过滤条件判断、动作执行状态等内部细节。

根本原因

该问题源于Rsyslog的调试功能被意外启用。从日志头信息可见：

• 系统运行的是Rsyslog 8.24.0版本
• 编译时未启用FEATURE_DEBUG标志（生产版本）
• 但运行时却产生了详细的调试日志输出

这种调试日志本应仅在开发测试环境启用，其详细记录每个消息的处理过程：

1. 消息过滤条件判断（PRIFILT）
2. 动作执行状态（ACTION）
3. 文件写入操作细节（omfile）
4. 网络转发状态（omfwd）
5. 输入监控状态（imfile）

技术影响

调试日志的持续写入会导致：

1. 存储空间快速耗尽
2. 磁盘I/O压力增大
3. 可能影响正常日志处理性能
4. 产生不必要的系统负载

解决方案

立即处理措施

1. 清理现有调试日志：

cat /dev/null > /var/log/rsyslog-debug.log

2. 临时禁用调试输出：

systemctl restart rsyslog

永久解决方案

检查并修改Rsyslog配置文件：

1. 确认/etc/rsyslog.conf中不存在以下配置：

$DebugFile /var/log/rsyslog-debug.log
$DebugLevel 2

2. 检查包含目录中的自定义配置：

grep -r "DebugFile" /etc/rsyslog.d/

3. 建议添加日志轮转配置（/etc/logrotate.d/rsyslog-debug）：

/var/log/rsyslog-debug.log {
    daily
    rotate 7
    compress
    delaycompress
    missingok
    notifempty
    create 0600 root root
}

最佳实践建议

1. 生产环境准则：永远不要在生产系统启用调试日志
2. 调试规范：
   • 仅在临时排障时启用
   • 通过rsyslogd -dn命令在控制台查看
   • 完成后立即关闭调试模式
3. 监控措施：设置对/var/log目录的磁盘空间监控
4. 版本升级：考虑升级到更新的Rsyslog版本（当前8.24.0较旧）

技术细节补充

Rsyslog的调试系统采用分级机制：

• Level 1：基本流程跟踪
• Level 2：详细处理细节（如示例所示）
• Level 3：极端详细（含内存操作等）

示例中出现的omfwd模块报错表明可能存在远程日志服务器连接问题，这可能导致：

• 消息重试堆积
• 调试日志中重复记录错误状态
• 需要检查目标服务器100.64.54.206:514的连通性

通过合理配置和监控，可以确保Rsyslog既保持可靠的日志处理能力，又避免不必要的资源消耗。