J'ai trouvé le coupable : Snort.
Snort m'a rempli /var/log/snort de fichiers du genre "tcpdump.log.133323568656" ce qui a saturé les inodes de /var
Dans logrotate.conf j'ai ça :
/var/log/snort/* {
    daily
    create 0640 snort adm
    rotate 2
}
(c'était à weekly et rotate 3, je viens de changer)
et dans /etc/logrotate.d/snort j'ai ça :
/var/log/snort/portscan.log /var/log/snort/alert /var/log/snort/portscan2.log {
    daily
    rotate 7
    compress
    missingok
    notifempty
    create 0640 snort adm
    sharedscripts
    postrotate
        if [ -x /usr/sbin/invoke-rc.d ]; then \
            invoke-rc.d snort restart (…)