logrotate可自动切割、压缩和归档日志，防止磁盘空间耗尽；通过配置postrotate脚本，在日志轮转后自动分析访问量、IP分布和错误状态码，并将结果保存至统计目录，实现高效问题排查与系统监控。
Linux系统中日志文件会随着时间不断增长，如果不进行管理，容易占用大量磁盘空间，影响系统性能。通过logrotate工具可以自动实现日志切割、压缩、归档和清理。同时，在日志切割的基础上，结合统计分析手段，能更高效地排查问题、监控系统行为。
logrotate的基本配置与日志切割实现
logrotate是Linux自带的日志轮转工具，通常每天由cron自动调用执行。它可以根据大小、时间等条件对日志进行切割。
配置文件一般位于/etc/logrotate.conf，具体服务的日志配置可放在/etc/logrotate.d/目录下。
例如，为Nginx的访问日志设置切割策略：
/var/log/nginx/access.log {
daily
missingok
rotate 7
compress
delaycompress
notifempty
create 0640 www-data adm
postrotate
systemctl reload nginx > /dev/null 2>&1 || true
endscript
}
- daily：按天切割
- rotate 7：保留7个历史日志文件
- compress：启用压缩（.gz格式）
- postrotate：切割后执行的命令，如重载服务
这样配置后，每天会生成类似access.log.1.gz的归档文件，避免单个日志无限膨胀。
结合shell脚本实现切割后自动统计分析
在日志切割完成后，可通过prerotate或postrotate脚本段插入自定义分析逻辑，实现自动化数据提取。
比如在切割前统计前一天的访问量、IP分布、状态码比例等：
postrotate
zcat /var/log/nginx/access.log.1.gz | awk '{print $1}' | sort | uniq -c | sort -nr > /var/log/stat/$(date -d yesterday +%Y%m%d)_top_ip.txt
zcat /var/log/nginx/access.log.1.gz | awk '{print $9}' | grep "5[0-9][0-9]" | sort | uniq -c > /var/log/stat/$(date -d yesterday +%Y%m%d)_5xx_errors.txt
endscript
- 使用zcat读取压缩后的日志
- 通过awk提取关键字段（如客户端IP、HTTP状态码）
- 用sort和uniq统计频次
- 结果保存到独立统计目录，便于后续查看或上报
这种方式无需额外定时任务，依赖logrotate触发，减少资源竞争，也保证分析时机准确。
优化建议与常见注意事项
实际使用中需注意以下几点以确保稳定性和效率：
- 确保目标统计目录存在并有写权限，避免脚本失败导致logrotate报错
- 大日志文件分析可能耗时，建议在业务低峰期运行，或限制分析粒度
- 可将统计结果汇总成摘要邮件发送给管理员，提升可观测性
- 配合ls weekly或size 100M等条件灵活控制切割频率
- 测试配置可用logrotate -d /etc/logrotate.d/your-config模拟执行
定期检查/var/lib/logrotate/status文件，确认各日志的最后处理时间是否正常更新。
基本上就这些。合理利用logrotate的钩子机制，不仅能管理好日志体积，还能顺势完成初步数据分析，提升运维效率。关键是把分析逻辑轻量化，嵌入现有流程，不额外增加系统负担。
