Корневой раздел заполнен через 2 часа использования

Основной каталог, на который следует обратить внимание, — это /var, который предназначен для всего, что доступно для записи обычными приложениями. Есть также /run и /tmp, но во многих дистрибутивах они часто представляют собой RAM-диск.

Вы можете использовать

df --max-depth 1 /var

выяснить, какой из них. не удаляйте вещи, пока не узнаете, что они из себя представляют.

Когда системы истощают свое хранилище, как вы описываете, это часто бывает вызвано тем, что что-то застревает, вращаясь при условии записи файла журнала, файл журнала может занять несколько ГБ. Так что /var/log вполне вероятно.

Иногда это также может быть вызвано нарушением процесса записи в /var/cache, /var/tmp или /var/lib.