Linux系统实现日志的无损迁移的完整方案介绍

# 检查当前/var/log大小
du -sh /var/log

# 检查详细目录大小（找出占用空间大的目录）
du -sh /var/log/* | sort -hr | head -10

# 检查/opt/mnt可用空间
df -h /opt/mnt

# 检查系统整体磁盘使用情况
df -h

# 检查当前正在写入/var/log的进程（了解影响范围）
lsof +D /var/log | head -20

# 确认系统发行版（影响后续验证方法）
cat /etc/os-release

# 创建目标目录结构
sudo mkdir -p /opt/mnt/var/log

# 复制原目录的权限和所有者
sudo chmod --reference=/var/log /opt/mnt/var/log
sudo chown --reference=/var/log /opt/mnt/var/log

# 验证目录创建成功
ls -ld /opt/mnt/var/log

# 第一次完整同步（这个过程中服务继续运行，会有新日志产生）
sudo rsync -av --progress /var/log/ /opt/mnt/var/log/

# 检查同步结果
echo "原目录大小："
du -sh /var/log
echo "目标目录大小："
du -sh /opt/mnt/var/log

# 检查重要文件是否同步成功
ls -la /opt/mnt/var/log/

# 重命名原目录为备份（开始中断日志写入）
sudo mv /var/log /var/log.backup.$(date +%Y%m%d_%H%M%S)

# 立即创建软链接（恢复日志写入）
sudo ln -sf /opt/mnt/var/log /var/log

# 检查软链接状态
ls -la /var/log
echo "软链接目标："
readlink -f /var/log

# 检查磁盘空间变化
echo "迁移后磁盘使用情况："
df -h

# 检查备份目录
ls -ld /var/log.backup.*

# 查看当前系统有哪些日志文件
echo "当前日志文件列表："
ls -la /var/log/

# 发送测试日志消息
logger -t "migration_test" "Test message after migration $(date)"

# 等待2秒让日志写入
sleep 2

# 方法1：在所有日志文件中搜索测试消息
echo "在所有日志文件中搜索测试消息："
grep "migration_test" /var/log/* 2>/dev/null

# 方法2：使用journalctl查看（适用于systemd系统）
echo "使用journalctl查看最近日志："
journalctl --no-pager --since "2 minutes ago" | grep migration_test

# 方法3：根据系统类型查看特定日志文件
echo "检查常见日志文件："

# Ubuntu/Debian系统通常用syslog
if [ -f /var/log/syslog ]; then
    echo "检查syslog:"
    tail -10 /var/log/syslog | grep migration_test || echo "在syslog中未找到"
fi

# CentOS/RHEL系统通常用messages
if [ -f /var/log/messages ]; then
    echo "检查messages:"
    tail -10 /var/log/messages | grep migration_test || echo "在messages中未找到"
fi

# 其他可能的日志文件
for logfile in /var/log/kern.log /var/log/daemon.log /var/log/user.log; do
    if [ -f "$logfile" ]; then
        echo "检查 $logfile:"
        tail -5 "$logfile" | grep migration_test || echo "在 $logfile 中未找到"
    fi
done

# 直接写入测试
echo "$(date) migration_verification: 迁移验证测试" >> /var/log/syslog

# 验证写入成功
tail -3 /var/log/syslog | grep migration_verification

# 测试应用日志写入
echo "$(date) application_test: 应用日志测试" >> /var/log/syslog

# 检查关键日志服务状态
echo "检查日志相关服务状态："

# 检查rsyslog（如果存在）
systemctl is-active rsyslog 2>/dev/null && echo "rsyslog: $(systemctl is-active rsyslog)" || echo "rsyslog: 不存在或未运行"

# 检查systemd-journald
systemctl is-active systemd-journald 2>/dev/null && echo "systemd-journald: $(systemctl is-active systemd-journald)" || echo "systemd-journald: 异常"

# 检查syslog-ng（如果存在）
systemctl is-active syslog-ng 2>/dev/null && echo "syslog-ng: $(systemctl is-active syslog-ng)" || echo "syslog-ng: 不存在或未运行"

# 检查rsyslog服务启动时间（判断是否需要重启）
if systemctl is-active rsyslog >/dev/null 2>&1; then
    rsyslog_start=$(systemctl show rsyslog --property=ActiveEnterTimestamp --value)
    echo "rsyslog启动时间: $rsyslog_start"
    echo "迁移时间大约: $(date '+%Y-%m-%d %H:%M:%S')"
    echo "如果rsyslog启动时间早于迁移时间，可能需要重启rsyslog服务"
fi

# 发送更多测试消息验证持续写入
for i in {1..3}; do
    logger -t "migration_monitor" "Continuous test $i at $(date)"
    sleep 1
done

# 实时监控新日志写入（选择适合您系统的方法）

# 方法1：监控journalctl（推荐，适用于大部分现代Linux）
echo "使用journalctl实时监控（按Ctrl+C停止）："
journalctl -f | grep -E "(migration_|ERROR|WARN)" &
MONITOR_PID=$!
sleep 10
kill $MONITOR_PID 2>/dev/null

# 方法2：监控具体日志文件
if [ -f /var/log/syslog ]; then
    echo "监控syslog文件："
    timeout 10 tail -f /var/log/syslog | grep migration_ || echo "监控完成"
elif [ -f /var/log/messages ]; then
    echo "监控messages文件："
    timeout 10 tail -f /var/log/messages | grep migration_ || echo "监控完成"
fi

# 检查是否有应用因无法写入日志而报错
echo "检查系统错误消息："
dmesg | tail -20

# 检查最近的系统日志是否有异常
echo "检查最近5分钟的系统日志："
journalctl --since "5 minutes ago" --priority=err

# 如果发现某个服务异常，可以选择重启该服务
# sudo systemctl restart rsyslog
# sudo systemctl restart syslog-ng

# 特别注意：如果auth.log等特定日志不更新，需要重启rsyslog
# 这是因为rsyslog可能还持有迁移前的文件句柄
if ! tail -1 /var/log/auth.log | grep -q "$(date '+%b %d')" 2>/dev/null; then
    echo "检测到auth.log可能未更新，重启rsyslog服务..."
    systemctl restart rsyslog
    sleep 3
    echo "rsyslog已重启，请重新测试认证日志"
fi

# 紧急回滚（删除软链接，恢复原目录）
sudo rm /var/log
sudo mv /var/log.backup.* /var/log

# 验证回滚成功
ls -ld /var/log
df -h

# 测试日志写入
logger -t "rollback_test" "Rollback test $(date)"
journalctl --since "1 minute ago" | grep rollback_test

# 列出备份目录
ls -ld /var/log.backup.*

# 确认删除备份（谨慎操作）
# sudo rm -rf /var/log.backup.YYYYMMDD_HHMMSS

# 1. 检查rsyslog打开的文件句柄
lsof -p $(pgrep rsyslogd) | grep auth

# 2. 比较文件inode号
ls -i /var/log/auth.log                    # 当前文件
ls -i /var/log.backup.*/auth.log          # 备份文件  
ls -i /opt/mnt/var/log/auth.log               # 实际文件

# 3. 检查备份目录中的文件是否还在增长
stat /var/log.backup.*/auth.log | grep "最近更改"

# 重启rsyslog服务释放旧文件句柄
systemctl restart rsyslog
systemctl status rsyslog

# 等待服务完全启动
sleep 3

# 测试认证日志记录
sudo whoami > /dev/null
sleep 2
tail -3 /var/log/auth.log

# 验证文件句柄更新
stat /var/log/auth.log | grep "最近更改"