主机升级rsyslog后服务异常分析，rsyslog服务重启报错

1：异常情况：

现有版本：rsyslog-8.24.0-34.el7.x86_64

升级到：rsyslog-8.24.0-38.el7.x86_64

升级后服务重启不了，服务状态如下：

systemd[1]: Failed to start System Logging Service.
systemd[1]: Unit rsyslog.service entered failed state.
systemd[1]: rsyslog.service failed.
systemd[1]: rsyslog.service holdoff time over, scheduling restart.
systemd[1]: Stopped System Logging Service.
systemd[1]: start request repeated too quickly for rsyslog.service
systemd[1]: Failed to start System Logging Service.
systemd[1]: Unit rsyslog.service entered failed state.
systemd[1]: rsyslog.service failed.

尝试：

1：回退原来版本得RPM包，重启服务，任然还是这个状态（未解决）

2：重启服务器，任然还是这个状态（未解决）

3：删除rsyslog这rpm包，然后再重启，状态没了，再重新安装上包启动服务，这个状态再次显现（未解决）

4：排查各种是否存在PID，以及该服务启动方式，启动流程，红帽官网寻找报错登皆排查完毕（未解决）

5：修复.services在system里重复启动过快，vim /usr/lib/systemd/system/ rsyslog.service，增加StartLimitInterval=3换行StartLimitBurst=100，限制system重复启动rsyslog服务。修改后服务状态发生转变（有进展，但未解决）

状态变化：

2：最终解决方案

日志文件过多时，rsyslog 无法启动

1：计算日志文件的数量，默认不能超过1024，故障主机显示1027已经超过默认得1024，锁定该原因

journalctl --header | grep -c 'File Path:'

2：编辑/etc/rsyslogd.conf以下语句并将其添加到该GLOBAL DIRECTIVES部分，增加日志文件数量限制。

vim /etc/rsyslog.conf

增加一行：$MaxOpenFiles 4096

3：重启服务（成功）

总结

渊源：

该imjournal输入模块rsyslog上打开开始的所有日志文件（通过杂志API）。当日志文件数量过多时，可以达到最大打开文件描述符的默认限制 (1024)。在这种情况下rsyslogd，无法打开任何其他文件或套接字，并将以失败退出状态 1 终止。

参考官网红帽连接（需要账号）：https://access.redhat.com/solutions/3693211

有两种解决方案：

1：配置为允许打开更多的日志文件：

如上面，rsyslogd如果需要，您可以配置为允许更多打开的文件。最多可打开 4096 个文件。对于更多打开的文件，LimitNOFILE需要[Service]在rsyslog.service systemd单元文件部分调整限制。

2：清理旧的日志文件：

使用journalctl移除旧日志文件。下面的示例删除超过两周的日志文件，根据需要调整时间：

删除2周：# journalctl --vacuum-time='2 weeks'

查看：# journalctl --header | grep -c 'File Path:'

重启服务。