Linux日志性能优化需五维分离：按价值分级过滤低频日志、按写入节奏隔离高频服务、按结构化需求并行journal与rsyslog、按生命周期区分热冷日志、通过挂载和配置实现物理与逻辑分流。
Linux 日志性能瓶颈常来自混写、过载和低效读取。真正有效的分离策略不是简单“按服务分目录”，而是围绕写入压力源和访问频率差异做定向分流，兼顾系统稳定性与运维效率。
按日志价值分级分流
高频率低价值日志（如 dhclient、avahi-daemon 的 debug 级输出）会持续刷盘，拖慢整个 rsyslog 队列。应直接在接收端过滤丢弃或导出到独立路径，避免进入主日志流。
- 在 /etc/rsyslog.d/50-filter.conf 中添加规则：
:programname, isequal, "dhclient" ~（末尾波浪号表示丢弃） - 对需保留但不常用的服务，改写目标路径并设独立轮转：
*.info;mail.none;authpriv.none;cron.none /var/log/syslog-lowfreq - 重启生效：
sudo systemctl restart rsyslog
按写入节奏分离：高频服务单独挂载
像 nginx access.log、数据库 slow query log 这类每秒数百次写入的日志，与系统消息混在同一个磁盘分区时，容易引发 I/O 争抢。建议将它们所在的 /var/log 子目录绑定挂载到专用 SSD 分区或 tmpfs（内存盘，仅限非关键调试日志）。
- 新建独立挂载点：
sudo mkdir -p /var/log/nginx - 修改
/etc/fstab添加：/dev/sdb1 /var/log/nginx ext4 defaults,noatime,nodiratime 0 2 - 重挂载：
sudo mount -a，再更新 nginx 配置中的access_log路径
按结构化需求分离：journal + rsyslog 双轨并行
systemd-journald 天然支持字段过滤、时间范围查询，适合快速定位；而传统文本日志（/var/log/messages）更适配 grep、awk 批量分析。二者不必互斥，可配置为互补模式：
- 启用 journal 持久化：
sudo mkdir -p /var/log/journal，并在/etc/systemd/journald.conf中设置：Storage=persistentSystemMaxUse=512MMaxRetentionSec=3month - 让 rsyslog 从 journal 读取而非 /dev/log：
取消注释/etc/rsyslog.conf中的$ModLoad imjournal行 - 这样 journal 负责实时检索，rsyslog 负责归档和转发，避免重复解析开销
按生命周期分离：热日志与冷日志物理隔离
最近 7 天的日志需要频繁读写，而 30 天前的日志基本只用于审计。可借助 logrotate 的 prerotate 钩子，在压缩前自动同步到 NAS 或对象存储，主磁盘只保留热区。
- 在
/etc/logrotate.d/nginx中加入：prerotate<br> aws s3 cp /var/log/nginx/access.log.1 s3://my-logs/nginx/$(date +%Y%m%d)/ --storage-class STANDARD_IA<br>endscript
- 确保
rotate 7和compress同时启用，防止本地堆积 - 用
logrotate -d先验证语法，再实际运行
