# 檢查當(dāng)前/var/log大小
du -sh /var/log

# 檢查詳細(xì)目錄大?。ㄕ页稣加每臻g大的目錄）
du -sh /var/log/* | sort -hr | head -10

# 檢查/opt/mnt可用空間
df -h /opt/mnt

# 檢查系統(tǒng)整體磁盤使用情況
df -h

# 檢查當(dāng)前正在寫入/var/log的進(jìn)程（了解影響范圍）
lsof +D /var/log | head -20

# 確認(rèn)系統(tǒng)發(fā)行版（影響后續(xù)驗(yàn)證方法）
cat /etc/os-release

# 創(chuàng)建目標(biāo)目錄結(jié)構(gòu)
sudo mkdir -p /opt/mnt/var/log

# 復(fù)制原目錄的權(quán)限和所有者
sudo chmod --reference=/var/log /opt/mnt/var/log
sudo chown --reference=/var/log /opt/mnt/var/log

# 驗(yàn)證目錄創(chuàng)建成功
ls -ld /opt/mnt/var/log

# 第一次完整同步（這個(gè)過程中服務(wù)繼續(xù)運(yùn)行，會(huì)有新日志產(chǎn)生）
sudo rsync -av --progress /var/log/ /opt/mnt/var/log/

# 檢查同步結(jié)果
echo "原目錄大?。?
du -sh /var/log
echo "目標(biāo)目錄大小："
du -sh /opt/mnt/var/log

# 檢查重要文件是否同步成功
ls -la /opt/mnt/var/log/

# 重命名原目錄為備份（開始中斷日志寫入）
sudo mv /var/log /var/log.backup.$(date +%Y%m%d_%H%M%S)

# 立即創(chuàng)建軟鏈接（恢復(fù)日志寫入）
sudo ln -sf /opt/mnt/var/log /var/log

# 檢查軟鏈接狀態(tài)
ls -la /var/log
echo "軟鏈接目標(biāo)："
readlink -f /var/log

# 檢查磁盤空間變化
echo "遷移后磁盤使用情況："
df -h

# 檢查備份目錄
ls -ld /var/log.backup.*

# 查看當(dāng)前系統(tǒng)有哪些日志文件
echo "當(dāng)前日志文件列表："
ls -la /var/log/

# 發(fā)送測試日志消息
logger -t "migration_test" "Test message after migration $(date)"

# 等待2秒讓日志寫入
sleep 2

# 方法1：在所有日志文件中搜索測試消息
echo "在所有日志文件中搜索測試消息："
grep "migration_test" /var/log/* 2>/dev/null

# 方法2：使用journalctl查看（適用于systemd系統(tǒng)）
echo "使用journalctl查看最近日志："
journalctl --no-pager --since "2 minutes ago" | grep migration_test

# 方法3：根據(jù)系統(tǒng)類型查看特定日志文件
echo "檢查常見日志文件："

# Ubuntu/Debian系統(tǒng)通常用syslog
if [ -f /var/log/syslog ]; then
    echo "檢查syslog:"
    tail -10 /var/log/syslog | grep migration_test || echo "在syslog中未找到"
fi

# CentOS/RHEL系統(tǒng)通常用messages
if [ -f /var/log/messages ]; then
    echo "檢查messages:"
    tail -10 /var/log/messages | grep migration_test || echo "在messages中未找到"
fi

# 其他可能的日志文件
for logfile in /var/log/kern.log /var/log/daemon.log /var/log/user.log; do
    if [ -f "$logfile" ]; then
        echo "檢查 $logfile:"
        tail -5 "$logfile" | grep migration_test || echo "在 $logfile 中未找到"
    fi
done

# 直接寫入測試
echo "$(date) migration_verification: 遷移驗(yàn)證測試" >> /var/log/syslog

# 驗(yàn)證寫入成功
tail -3 /var/log/syslog | grep migration_verification

# 測試應(yīng)用日志寫入
echo "$(date) application_test: 應(yīng)用日志測試" >> /var/log/syslog

# 檢查關(guān)鍵日志服務(wù)狀態(tài)
echo "檢查日志相關(guān)服務(wù)狀態(tài)："

# 檢查rsyslog（如果存在）
systemctl is-active rsyslog 2>/dev/null && echo "rsyslog: $(systemctl is-active rsyslog)" || echo "rsyslog: 不存在或未運(yùn)行"

# 檢查systemd-journald
systemctl is-active systemd-journald 2>/dev/null && echo "systemd-journald: $(systemctl is-active systemd-journald)" || echo "systemd-journald: 異常"

# 檢查syslog-ng（如果存在）
systemctl is-active syslog-ng 2>/dev/null && echo "syslog-ng: $(systemctl is-active syslog-ng)" || echo "syslog-ng: 不存在或未運(yùn)行"

# 檢查rsyslog服務(wù)啟動(dòng)時(shí)間（判斷是否需要重啟）
if systemctl is-active rsyslog >/dev/null 2>&1; then
    rsyslog_start=$(systemctl show rsyslog --property=ActiveEnterTimestamp --value)
    echo "rsyslog啟動(dòng)時(shí)間: $rsyslog_start"
    echo "遷移時(shí)間大約: $(date '+%Y-%m-%d %H:%M:%S')"
    echo "如果rsyslog啟動(dòng)時(shí)間早于遷移時(shí)間，可能需要重啟rsyslog服務(wù)"
fi

# 發(fā)送更多測試消息驗(yàn)證持續(xù)寫入
for i in {1..3}; do
    logger -t "migration_monitor" "Continuous test $i at $(date)"
    sleep 1
done

# 實(shí)時(shí)監(jiān)控新日志寫入（選擇適合您系統(tǒng)的方法）

# 方法1：監(jiān)控journalctl（推薦，適用于大部分現(xiàn)代Linux）
echo "使用journalctl實(shí)時(shí)監(jiān)控（按Ctrl+C停止）："
journalctl -f | grep -E "(migration_|ERROR|WARN)" &
MONITOR_PID=$!
sleep 10
kill $MONITOR_PID 2>/dev/null

# 方法2：監(jiān)控具體日志文件
if [ -f /var/log/syslog ]; then
    echo "監(jiān)控syslog文件："
    timeout 10 tail -f /var/log/syslog | grep migration_ || echo "監(jiān)控完成"
elif [ -f /var/log/messages ]; then
    echo "監(jiān)控messages文件："
    timeout 10 tail -f /var/log/messages | grep migration_ || echo "監(jiān)控完成"
fi

# 檢查是否有應(yīng)用因無法寫入日志而報(bào)錯(cuò)
echo "檢查系統(tǒng)錯(cuò)誤消息："
dmesg | tail -20

# 檢查最近的系統(tǒng)日志是否有異常
echo "檢查最近5分鐘的系統(tǒng)日志："
journalctl --since "5 minutes ago" --priority=err

# 如果發(fā)現(xiàn)某個(gè)服務(wù)異常，可以選擇重啟該服務(wù)
# sudo systemctl restart rsyslog
# sudo systemctl restart syslog-ng

# 特別注意：如果auth.log等特定日志不更新，需要重啟rsyslog
# 這是因?yàn)閞syslog可能還持有遷移前的文件句柄
if ! tail -1 /var/log/auth.log | grep -q "$(date '+%b %d')" 2>/dev/null; then
    echo "檢測到auth.log可能未更新，重啟rsyslog服務(wù)..."
    systemctl restart rsyslog
    sleep 3
    echo "rsyslog已重啟，請重新測試認(rèn)證日志"
fi

# 緊急回滾（刪除軟鏈接，恢復(fù)原目錄）
sudo rm /var/log
sudo mv /var/log.backup.* /var/log

# 驗(yàn)證回滾成功
ls -ld /var/log
df -h

# 測試日志寫入
logger -t "rollback_test" "Rollback test $(date)"
journalctl --since "1 minute ago" | grep rollback_test

# 列出備份目錄
ls -ld /var/log.backup.*

# 確認(rèn)刪除備份（謹(jǐn)慎操作）
# sudo rm -rf /var/log.backup.YYYYMMDD_HHMMSS

# 1. 檢查rsyslog打開的文件句柄
lsof -p $(pgrep rsyslogd) | grep auth

# 2. 比較文件inode號(hào)
ls -i /var/log/auth.log                    # 當(dāng)前文件
ls -i /var/log.backup.*/auth.log          # 備份文件  
ls -i /opt/mnt/var/log/auth.log               # 實(shí)際文件

# 3. 檢查備份目錄中的文件是否還在增長
stat /var/log.backup.*/auth.log | grep "最近更改"

# 重啟rsyslog服務(wù)釋放舊文件句柄
systemctl restart rsyslog
systemctl status rsyslog

# 等待服務(wù)完全啟動(dòng)
sleep 3

# 測試認(rèn)證日志記錄
sudo whoami > /dev/null
sleep 2
tail -3 /var/log/auth.log

# 驗(yàn)證文件句柄更新
stat /var/log/auth.log | grep "最近更改"