J'ai trouvé le coupable : Snort.
Snort m'a rempli /var/log/snort de fichiers du genre "tcpdump.log.133323568656" ce qui a saturé les inodes de /var
Dans logrotate.conf j'ai ça :
/var/log/snort/* {
daily
create 0640 snort adm
rotate 2
}
(c'était à weekly et rotate 3, je viens de changer)
et dans /etc/logrotate.d/snort j'ai ça :
/var/log/snort/portscan.log /var/log/snort/alert /var/log/snort/portscan2.log {
daily
rotate 7
compress
missingok
notifempty
create 0640 snort adm
sharedscripts
postrotate
if [ -x /usr/sbin/invoke-rc.d ]; then \
invoke-rc.d snort restart
(…)