一、查看日志占用大小

journalctl --disk-usage

查看当前 journal 日志一共占用多少磁盘。

二、一次性手动清理（临时操作，不会永久生效）

# 只保留最近7天
journalctl --vacuum-time=7d

# 日志总大小上限，多余旧日志删除
journalctl --vacuum-size=500M

# 单个日志文件最早保留多久
journalctl --vacuum-files=10

vacuum‑time /vacuum‑size /vacuum‑files 都是单次执行清理，不会改变配置文件。

三、查看日志

# 查看全部日志（由旧→新）
journalctl

# 最新日志，实时滚动（类似 tail -f）
journalctl -f

# 查看本次开机之后的日志
journalctl -b

# 查看上一次开机的历史日志
journalctl -b -1

# 查看指定服务日志，例如 sshd
journalctl -u sshd

# 查看指定进程
journalctl _PID=1234

# 按时间范围
journalctl --since "2026-08-01 10:00:00" --until "2026-08-02 18:00:00"

# 只看错误级别以上日志
journalctl -p err

四、重载 journald 配置（改完 journald.conf 必须执行）

systemctl restart systemd-journald

五、排查故障命令

# 查看 journald 服务本身状态
systemctl status systemd-journald

# 检查配置有没有语法错误
journald --verify-config

你已经配置好的长效管控方案回顾

/etc/systemd/journald.conf

SystemMaxUse=500M
SystemMaxFileSize=100M
MaxRetentionSec=7day

规则：

1. 日志最长存放 7 天

2. 日志总和到达 500M，旧日志立刻删除

3. 哪个条件先触发就先清理