Diagnostiquer un disque Linux plein : df, du, fichiers supprimés mais ouverts et journal

Objectif

Identifier pourquoi un système de fichiers est signalé comme plein et récupérer de l'espace sans deviner ni supprimer les mauvaises données.

Prérequis

Accès root ou sudo ; le point de montage signalé comme plein (par une erreur applicative ou une alerte de supervision).

Étapes

1. Déterminer quel système de fichiers et quelle ressource sont épuisés : df -h affiche l'espace par système de fichiers monté ; df -i affiche séparément l'utilisation des inodes. Un système de fichiers peut avoir ses inodes utilisés à 100 % alors qu'il reste de l'espace libre ; dans ce cas, supprimer de gros fichiers n'aidera pas.
2. Trouver où est passé l'espace, sans traverser les autres systèmes de fichiers montés : du -x -h --max-depth=2 /var 2>/dev/null | sort -h. L'option -x/--one-file-system empêche du de descendre dans un système de fichiers différent monté sous /var, ce qui gonflerait le total.
3. Rechercher l'espace retenu par des fichiers supprimés qu'un processus garde ouverts. Ils n'apparaissent jamais dans du, car l'entrée de répertoire a disparu : seul l'inode subsiste, jusqu'à la fermeture du dernier descripteur de fichier. Les lister avec lsof +L1, qui signale les fichiers ouverts dont le nombre de liens est tombé à zéro (supprimés). Le noyau documente ce même état par le suffixe (deleted) ajouté à la cible lorsqu'un fichier mappé ou ouvert est délié alors qu'il est toujours référencé.
4. Pour chaque entrée renvoyée par lsof +L1, noter le PID et la commande, puis redémarrer ou recharger proprement ce processus (pour un service systemd : systemctl restart <unit>). L'espace n'est rendu au système de fichiers qu'une fois le dernier descripteur fermé ; supprimer à nouveau le chemin ne sert à rien, puisque l'entrée de répertoire n'existe déjà plus. Si le processus ne doit pas être redémarré, on peut tronquer le fichier ouvert via son descripteur, : > /proc/<pid>/fd/<fd> (le numéro de FD figure dans la sortie de lsof), ce qui libère immédiatement les blocs ; un processus qui continue d'écrire à son ancien décalage produit alors un fichier creux (sparse), de sorte qu'un redémarrage lors de la prochaine fenêtre de maintenance reste la solution propre.
5. Si le journal est le plus gros consommateur, le vérifier avec journalctl --disk-usage, puis en borner la taille avec journalctl --vacuum-size=500M ou journalctl --vacuum-time=2weeks.
6. Sur ext2/3/4, vérifier le pourcentage de blocs réservés, mis de côté et inaccessibles aux utilisateurs ordinaires (tune2fs -l /dev/sdX1 | grep -i reserved) ; le réduire temporairement avec tune2fs -m 1 /dev/sdX1 libère de l'espace pour les écritures hors root, au prix de la marge de sécurité que cette réserve était censée fournir.

Résultat attendu

df -h et df -i montrent tous deux de la marge après l'étape 6 ; lsof +L1 ne renvoie plus d'entrées liées à des services qui auraient dû libérer leurs fichiers.

Limites et base de vérification

Basé sur df(1), du(1), lsof(8) et proc_pid_maps(5). Redémarrer un processus pour libérer les descripteurs de fichiers supprimés provoque une brève interruption de ce processus ; sauvegarder ou noter son PID et sa commande avant de le redémarrer. La réduction des blocs réservés d'ext4 est réversible avec la même commande tune2fs -m et le pourcentage d'origine.