为什么 Ubuntu 18.04 上“df”和“du”报告的可用空间不同？

Question

为什么这两个命令报告的可用空间如此不同？这种情况从去年开始在多个 Ubuntu 18.04 虚拟机上时不时地发生。

df报告 100% 使用，但du -smh仅显示 4.0G（总计）中的 2.3G 正在使用。

当系统日志服务器因维护而停机时，通常会出现rsyslog或syslog-ng充满错误消息。/var

# df -mh /var
Filesystem              Size  Used Avail Use% Mounted on
/dev/mapper/new_vg-var  4.0G  3.9G     0 100% /var

# du -smh /var
2.3G    /var

# fuser /var

Answer 1

df查询文件系统中使用的总块数，请参阅 man 3 statvfs。快速准确地统计体积，但没有详细说明哪些文件。

du循环遍历文件并累加它们的大小。速度较慢，但​​可以按文件大小进行打印。

差异可能意味着已删除的文件仍由某些程序打开。最常见的是，此类大文件是日志或数据库，但也可以是任何东西。

当系统日志服务器因维护而停机时，通常会出现rsyslog或syslog-ng充满错误消息。/var

根本原因是您的远程日志记录配置。

短期内，正确轮换日志文件，例如通过运行logrotate临时日志文件。请注意，/etc/logrotate.d/*syslog 中的典型配置会向 rsyslog 发送 HUP 信号以重新打开新的日志文件。

考虑增加 /var 的大小以处理日志文件的实际大小。

修改日志记录配置，以便在远程关闭和磁盘空间不足时执行适当的操作。rsyslog 可以配置使用有限空间的队列，并在队列满时丢弃消息。SLES 知识库中的rsyslog 配置示例需要针对您的日志记录设置进行自定义：

# cat /etc/rsyslog.d/ora_audit.conf
if ( $syslogfacility-text == 'local1' ) and ( $syslogseverity == 4 /* warning */ )  then {
        $WorkDirectory /var/spool/rsyslog       # where to place spool files
        $ActionQueueFileName RemoteQueue        # unique name prefix for spool files
        $ActionQueueMaxDiskSpace 1G             # 1gb space limit (use as much as possible)
        $ActionQueueSaveOnShutdown on           # save messages to disk on shutdown
        $ActionQueueType LinkedList             # run asynchronously
        $ActionResumeRetryCount -1              # infinite retries if host is down
        $ActionQueueTimeoutEnqueue 0            # causes that the message will be discarded immediately if the queue is full
        *.* @@aaa.bbb.ccc.ddd:514               # IP of remote syslog server:port 514
        stop
}

# Above setup discards any messages, if queue size limit is reached (in this setup 1 GB) immediately !

Answer 2

df 大于 du 的最常见原因：

• 您没有du在整个文件系统上运行。
  • 您没有所有目录的访问权限。
  • 您做了类似的事情du -s /filesystem/*，并且缺少顶部的点文件。重新运行为du -sx /filesystem
  • （罕见）您已使用另一个挂载来遮蔽某些文件系统。通过安装在顶部，du无法到达文件来确定大小。可以通过卸载影子文件系统或通常使用原始文件系统的循环安装来调整它们的大小。
• 您有仍然打开但已删除的文件。 du无法再访问它们进行阅读，但它们仍然占用空间。尝试lsof +aL1 /filesystem查找孤立文件以及打开它们的进程。当进程关闭文件时，空间将被释放。

df 小于 du 的最常见原因：

• 内部安装了一个额外的文件系统，您du将进入其中并计算该空间。重新运行为du -sx /filesystem