刚刚发现 logrotate 没有轮换我们的防火墙日志。所以它的大小高达12G。
我需要将文件分成更小的块并开始手动旋转它们，这样我才能让事情回到正轨。
但是，在我开始拆分防火墙之前，我需要阻止防火墙记录到当前的防火墙日志文件并强制它开始记录到一个新的空文件。这样我就不会尝试拆分或轮换仍在不断增长的日志文件。
我试图简单地做到这一点：
mv firewall firewall.old
touch firewall
我希望看到新的空防火墙文件的大小开始增长，但没有...... firewall.old 仍然被记录到。
然后我尝试启动/停止 iptables。没变。firewall.old 仍然是日志文件。
我试图将它移动到另一个目录。那没有帮助。
我试图停止 iptables，然后更改文件名并创建一个新的防火墙文件，然后再次启动 iptables，但没有任何变化。
如何停止记录此文件并强制它开始记录新文件？
iptables 使用 syslog 工具进行日志记录。向 syslogd、ksyslogd 或 rsyslogd 发送 SIGHUP 以关闭和重新打开日志文件。
日志文件的写入不是由 iptables 执行的。iptables 只是将日志记录到内核系统日志工具，然后由您的系统日志程序将其写入日志文件。当您移动文件时，您实际上只是从文件系统的角度重命名它。您的系统日志守护程序不知道您这样做了，并且愉快地继续写入其打开的文件句柄。您需要做的是重新加载系统日志守护程序，以便它根据文件系统路径重新打开文件并开始写入新文件。大多数系统日志守护程序支持捕获 HUP 信号来执行此操作，并且不需要完全重新启动。
您应该使用大多数发行版预装的程序（例如 logrotate）来为您处理轮换。它很聪明，并支持诸如信号守护进程之类的操作。您无需为此目的编写自己的脚本。
您的 logrotate 配置文件应该包含一个 postrotate 部分，用于重新加载或 SIGHUPs syslog 或 rsyslog 或等效项。
在我的系统上
/etc/logrotate.d/rsyslog，除其他外包含：您可以制作 syslog 文件的副本：
并将副本移动到任何所需位置：
并清除原文件内容：
此后，您的原始文件将继续接收系统日志；您不必将其与另一个文件交换。