Когда у меня возникла та же проблема с Debian, я обнаружил, что должен был перезапустить rsyslogd:
/etc/init.d/rsyslog restart
(Ваша программа syslogd может отличаться.)
Он снова начал писать в /var/log/auth.log.
Возможно, он прекратил запись в журнал после события переполнения диска, я не уверен.
Смотрите также: https://bugs.launchpad.net/ubuntu/+source/rsyslog/+bug/1059854/comments/9