journald是替代还是补充syslogd？日志差异与取舍疑问

二者独有的日志记录 #

• syslog（一般由rsyslog或syslog-ng负责）：部分老旧服务、自定义脚本可能仅配置了向syslog输出日志，不会写入systemd-journald；一些第三方应用默认采用syslog协议发送日志，未适配journald，这类日志只会出现在syslog中。
• journalctl（对应systemd-journald服务）：能捕获syslog拿不到的日志，包括：systemd服务启停的详细流程、内核早期启动阶段（syslog服务启动前）的日志、进程的环境变量/UID/GID等元数据、systemd管理的容器通过stdout/stderr输出的日志。

是否建议移除其中一个以节省空间？ #

不建议直接移除任意一个，二者在运维排查场景中各有作用：

• syslog的日志格式和存储路径是很多运维工具、监控系统的依赖项，服务器环境下通常需要保留。
• journalctl在排查systemd相关问题时更高效，比如通过journalctl -u 服务名快速过滤单个服务的日志，还能查看日志附带的元数据信息。

如果要节省存储空间，更合理的方式是针对性调整日志配置：

• 针对journald：编辑/etc/systemd/journald.conf，设置SystemMaxUse限制日志总占用空间，或MaxFileSec限制日志保留时长，之后重启systemd-journald服务生效。
• 针对syslog：修改rsyslog/syslog-ng的日志轮转规则（比如/etc/logrotate.d/rsyslog），调整日志保留天数、单个文件大小上限，避免日志无限制增长。

内容的提问来源于stack exchange，提问作者ataraxis