Linux journalctl --rotate 怎样手动切换当前日志文件

在 Linux 服务器上维护 journald 时，我遇到过一个看似简单、实际很容易误解的动作：想把当前日志文件“切出去”，却把 journalctl --rotate 当成了清理命令。正确理解是：--rotate 只请求 systemd-journald 完成日志文件轮转，让当前活动文件进入归档状态，再创建新的文件继续接收后续日志；它不会自动删除旧日志。

官方地址：https://www.freedesktop.org/software/systemd/man/latest/journalctl.html

这篇文章把一次维护动作拆成三个可观察的目标：需要切换文件时用 --rotate，需要把尚未写入的数据同步到磁盘时用 --sync，需要按大小或时间淘汰旧归档时再用 --vacuum-*。这样既能控制当前文件的生命周期，也不会因为误用清理参数而丢掉仍需保留的诊断记录。

先看清轮转到底改变了什么

journal 文件可以先按两个状态来理解：一个是 journald 当前正在写入的活动文件，另一个是已经不再接收新消息的归档文件。执行轮转后，活动文件会被标记为归档并改名或归档保存，journald 再准备新的空文件承接后续写入。这个动作改变的是“谁负责接收新日志”，不是“把旧日志删除”。

我在维护手册里会先记录三个观察量：当前 journal 占用空间、活动文件的最近更新时间，以及轮转后新增日志是否进入新的文件。它们分别对应容量、文件生命周期和写入路径；不要只看命令立即返回就认为清理已经发生。

用 --rotate 请求 journald 手动切换

最小用法只有一条命令：

# 请求 systemd-journald 完成当前 journal 文件轮转
sudo journalctl --rotate

官方手册说明，这个调用会等待轮转操作完成。轮转后，当前活动文件变成归档文件，并创建新的空 journal 文件。命令本身没有输出大量业务数据，所以它更适合放在维护脚本或人工操作步骤中，由后续的状态观察决定是否继续。

权限和环境是第一道边界。命令需要能够向 journald 请求管理动作；在受限容器、没有完整 systemd 环境的镜像里，不能把宿主机上的行为直接套过来。另一个容易混淆的点是：轮转不是按“每执行一次就固定生成一个可见文件名”来承诺的，文件名和存储目录仍受 journald 的存储模式与版本实现影响。

一次维护动作怎样留下可读的判断线索

为了避免把示意图当成实际输出，可以把命令和判断分开写。先请求轮转，再分别查看占用与最新消息：

# 先完成文件轮转，不在这一步删除旧归档
sudo journalctl --rotate

# 读取 journald 当前总占用，观察轮转前后容量变化
sudo journalctl --disk-usage

# 查看最近日志，确认后续消息仍能被 journalctl 读取
sudo journalctl -n 20 --no-pager

--disk-usage 适合回答“空间大约用了多少”，-n 适合回答“还能不能读到最近消息”。两者都只是观察入口，不等于对文件进行了完整审计。生产手册里可以把轮转前后的占用记录到维护单，但不要凭一次占用值推断所有归档文件都已经被压缩或删除。

rotate、sync 和 vacuum 不是同一个开关

这三个动作可以按目标拆开：

例如，维护窗口要求先确保现有日志落盘，再切换活动文件，可以按下面的顺序写：

# 先把已经产生但尚未同步的数据写入后端文件
sudo journalctl --sync

# 再切换活动文件，让后续日志进入新的文件
sudo journalctl --rotate

如果目标是“轮转后只保留最近一段时间的归档”，才把 vacuum 放到后面：

# 轮转让当前文件也进入可清理的归档集合
sudo journalctl --rotate

# 仅示例：按时间淘汰更早的归档日志，具体时长按保留策略填写
sudo journalctl --vacuum-time=14days

关键不是命令越多越好，而是把保留策略写清楚。轮转是文件边界动作，sync 是持久化动作，vacuum 是删除动作；删除动作应当有单独的审批或值班规则，不能作为“顺手清一下”的默认尾步骤。

用基线和结果对比避免误判

一次维护中，最有用的不是捏造一个“轮转后节省了多少 MB”的固定数字，而是把可复现的测量口径保留下来。可以用下面的表格作为维护记录模板：

如果你期待的是磁盘空间下降，却只执行了 --rotate，结果没有变化并不代表命令失效；它可能只是完成了归档切换。反过来，如果你期待的是“所有消息都安全写入磁盘”，应该检查 --sync 的目标，而不是用轮转来替代它。

把轮转放进低风险维护手册

对我来说，一份可交接的操作手册至少应包含四个判断点：

1. 先写明目的：是文件切换、数据落盘，还是释放归档空间。
2. 记录轮转前的占用和最近日志范围，避免维护后无法解释差异。
3. 执行 --rotate 后，只做读取型观察；需要删除时再单独执行 vacuum。
4. 把执行时间、操作者、保留策略和异常返回记录在维护单中。

不要为了追求“文件看起来整齐”而频繁手动轮转。过度轮转会增加归档文件数量和管理噪声，却未必带来空间收益；真正的容量治理仍应回到 journald 的持久化目录、配额和 vacuum 策略。

常见问题

执行 journalctl --rotate 会删除旧日志吗？

不会。它的职责是把活动文件转为归档并创建替代文件；删除旧归档需要使用相应的 vacuum 参数，并遵守自己的保留策略。

为什么轮转后磁盘占用没有下降？

因为 rotate 主要改变文件生命周期，不负责释放归档空间。若目标是清理，应明确选择 --vacuum-size、--vacuum-time 或 --vacuum-files。

什么时候应该先用 --sync？

当维护目标是确认此前写入的日志已经同步到后端文件时，先用 --sync 更直接。它解决的是持久化时点，不是活动文件切换。