Теория
Как сообщение приложения попадает в текстовый файл в /var/log?
Цепочка от приложения через syslog или journald до файлового вывода. Почему журнал systemd и текстовый лог — не одно и то же.
Читать ответ