Почему логи выводятся в файлы *.log.1?
auth.log и прочие - это активные, открытые файлы, в которые в данный момент пишутся логи. В определённый момент времени этот файл закрывается и переименовывается в auth.log.1, доступный для анализа и создаётся новый auth.log
Вангую какую-то бяку с файловыми дескрипторами. Что-нибудь вроде "активный лог переименовывается и только потом создаётся новый, поэтому процесс отправки как слал в тот fd, так и шлёт".