Triaje de un disco Linux lleno: df, du, archivos eliminados pero abiertos y el journal

Objetivo

Averiguar por qué un sistema de archivos se reporta lleno y liberar espacio sin adivinar ni eliminar lo que no corresponde.

Requisitos previos

Acceso root o sudo; el punto de montaje que se reporta lleno (a partir de un error de aplicación o de una alerta de monitorización).

Pasos

1. Confirmar qué sistema de archivos y qué recurso está agotado: df -h muestra el espacio por sistema de archivos montado; df -i muestra el uso de inodos por separado. Un sistema de archivos puede estar al 100 % de uso de inodos con espacio libre, en cuyo caso eliminar archivos grandes no ayudará.
2. Averiguar adónde fue el espacio, sin cruzar a otros sistemas de archivos montados: du -x -h --max-depth=2 /var 2>/dev/null | sort -h. El indicador -x/--one-file-system evita que du descienda a un sistema de archivos distinto montado bajo /var e infle el total.
3. Comprobar el espacio retenido por archivos eliminados que un proceso todavía tiene abiertos; estos nunca aparecen en du porque la entrada del directorio ha desaparecido, y solo queda el inodo hasta que se cierra el último descriptor de archivo. Listarlos con lsof +L1, que informa de los archivos abiertos cuyo contador de enlaces ha caído a cero (eliminados). El kernel documenta el mismo estado como el sufijo (deleted) añadido al destino cuando se desvincula un archivo mapeado o abierto mientras todavía está referenciado.
4. Para cada entrada de lsof +L1, anotar el PID y el comando, y luego reiniciar o recargar de forma controlada ese proceso (para un servicio systemd: systemctl restart <unit>). El espacio solo se devuelve al sistema de archivos cuando se cierra el último descriptor de archivo; eliminar la ruta de nuevo no hace nada, porque la entrada del directorio ya ha desaparecido. Si el proceso no puede reiniciarse, el archivo abierto puede truncarse a través de su descriptor, : > /proc/<pid>/fd/<fd> (el número de FD está en la salida de lsof), lo que libera los bloques de inmediato; un proceso que sigue escribiendo en su antiguo desplazamiento produce entonces un archivo disperso (sparse), así que un reinicio en la siguiente ventana de mantenimiento sigue siendo la solución limpia.
5. Si el journal es el mayor consumidor, comprobarlo con journalctl --disk-usage, y luego acotarlo con journalctl --vacuum-size=500M o journalctl --vacuum-time=2weeks.
6. En ext2/3/4, comprobar el porcentaje de bloques reservados apartados de los usuarios ordinarios (tune2fs -l /dev/sdX1 | grep -i reserved); reducirlo temporalmente con tune2fs -m 1 /dev/sdX1 libera espacio para quienes escriben sin ser root, a costa del margen de seguridad para el que existía.

Resultado esperado

df -h y df -i muestran ambos margen tras el paso 6; lsof +L1 ya no devuelve entradas vinculadas a servicios que deberían haber liberado sus archivos.

Límites y base de verificación

Basado en df(1), du(1), lsof(8) y proc_pid_maps(5). Reiniciar un proceso para liberar manejadores de archivos eliminados provoca una breve interrupción de ese proceso; conviene respaldar o anotar su PID y comando antes de reiniciar. Reducir los bloques reservados de ext4 es reversible con el mismo comando tune2fs -m y el porcentaje original.