lsof | grep iptables.log
lsof 2> /dev/null | sort -rnk7 | head -n 5
Nein, eben genau das sind die richtigen Werte. df (-h) gibt die Speicherplatzbelegung an. Sobald es eine Datei gibt, welche zwar "gelöscht" wurde aber noch immer von einem Programm geöffnet ist, zeigt df (-h) trotzdem die Belegung mit dieser Datei an, da man ja nicht einfach hergehen kann und diese Datei dann überschreiben kann. Andersrum wäre die Angabe, welche df (-h) macht, falsch.Es scheint so zu sein, das df -h unkorrekte Werte angibt, wenn sehr große Logdateien auf der gleichen Partition zum Schreiben offen sind.
`du` erfasst nur Daten, die vollständig auf die Platte geschrieben wurden, was beispielsweise bei geöffneten Logs nicht der Fall ist.