บันทึก sshd ของฉันอยู่ที่ไหน

ฉันหาบันทึก sshd ของฉันไม่ได้ในที่มาตรฐาน

สิ่งที่ฉันได้ลอง:

• ไม่เข้า /var/log/auth.log
• ไม่เข้า /var/log/secure
• ระบบค้นหา'auth.log'และพบว่าไม่มีอะไร
• ฉันได้ตั้ง/etc/ssh/sshd_configการใช้งานอย่างชัดเจนSyslogFacility AUTHและLogLevel INFOและเริ่มต้นใหม่ sshd และยังไม่สามารถหาพวกเขา

ฉันใช้ OpenSSH 6.5p1-2 บน Arch Linux

ลองคำสั่งนี้เพื่อดูบันทึกจาก systemctl:

journalctl -u sshd |tail -100

วิธีที่ดีกว่าในการดูส่วนสุดท้ายของบันทึกคือ:

journalctl -u sshd -n 100

การใช้tailเอาต์พุตของjournalctlอาจช้ามาก ใช้เวลา 5 นาทีในเครื่องที่ฉันลองใช้ในขณะที่คำสั่งด้านบนจะกลับมาทันที

ฉันพบผลลัพธ์ของ sshd และบริการหลักอื่น ๆ ใน 'journalctl'

ดูเพิ่มเติมที่รายการ Arch Wiki สำหรับ systemd:

https://wiki.archlinux.org/index.php/systemd#Journal

คุณควรจะสามารถกรองข้อความจากการsshdใช้:

journalctl -u ssh

หรือ (ขึ้นอยู่กับการกระจายของคุณ)

journalctl -u sshd

ซึ่งจะแสดงบันทึกในlessรูปแบบสไตล์ (คุณสามารถค้นหา/นำทางผ่าน PgUp, PgDown เป็นต้น)

• -e นำคุณไปสู่จุดสิ้นสุดของบันทึก
• -uพารามิเตอร์กรองผ่านเขตข้อมูลเมตา_SYSTEMD_UNITซึ่งเป็น (อย่างน้อยใน Debian) ที่ตั้งค่าเป็นssh.serviceดังนั้นsshdจะไม่ตรงกัน
• -f ติดตามบันทึกในเวลาจริง
• -n 100แสดงจำนวนบรรทัดที่กำหนด (มีประโยชน์ด้วย-f)

หรือคุณสามารถใช้การกรองเมตาฟิลด์:

journalctl _COMM=sshd

คุณสามารถแสดงเร็กคอร์ดวารสารทั้งหมดด้วยเมตาฟิลด์ทั้งหมดโดยส่งออกไปยัง JSON:

journalctl -u ssh -o json-pretty

ที่จะให้สิ่งที่คุณต้องการ:

    ...
    "_PID" : "7373",
    "_COMM" : "sshd",
    "_EXE" : "/usr/sbin/sshd",
    "_SYSTEMD_CGROUP" : "/system.slice/ssh.service",
    "_SYSTEMD_UNIT" : "ssh.service",
    ...

ในกรณีที่คุณสงสัยว่าจะแสดงเฉพาะข้อความเคอร์เนลได้อย่างไร:

journalctl -k -f

ดูการกำหนดค่า syslog ของคุณ Probalby ส่วนใหญ่/etc/syslog.confหรือ/etc/rsyslog.conf คุณควรมองหาบรรทัดที่มีauthตัวอย่างในการกำหนดค่าของฉัน

auth,authpriv.* /var/log/auth.log

*.*;auth,authpriv.none -/var/log/syslog