CentOS'ta sshd günlük dosyası konumu değiştirilsin mi?

sshdCentOS'ta günlük dosyası konumunu nasıl değiştirebilirim ? yerine sshdgünlüğe kaydeder . Günlükleri göndermeyi durduracak şekilde ayarı nasıl değiştirebilirim ?/var/log/messages/var/log/securesshd/var/log/messages

centos logs

— Jidrick
kaynak

Yazmaya devam ediyorsun /var/log/message, bu gerçekten konum mu? Genellikle /var/log/messages.

— slm

@slm burada öyleydi /var/log/messages, belki OP hem ;-) vardır

— Anthon

Ubuntu sistemimde ssh günlüğü var/var/log/auth.log

— Eric Wang

Yanıtlar:

Lütfen sshd_configbaşka bir şey gönderin sonrası gibi görünüyor. Bir hisse senedi CentOS sistemi her zaman oturum açar /var/log/secure.

Misal

$ sudo tail -f /var/log/secure
Feb 18 23:23:34 greeneggs sshd[3545]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Feb 18 23:23:36 greeneggs sshd[3545]: Failed password for root from ::1 port 46401 ssh2
Feb 18 23:23:42 greeneggs unix_chkpwd[3555]: password check failed for user (root)
Feb 18 23:23:42 greeneggs sshd[3545]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Feb 18 23:23:43 greeneggs sshd[3545]: Failed password for root from ::1 port 46401 ssh2
Feb 18 23:23:48 greeneggs sshd[3545]: Accepted password for root from ::1 port 46401 ssh2
Feb 18 23:23:48 greeneggs sshd[3545]: pam_unix(sshd:session): session opened for user root by (uid=0)
Feb 18 23:24:05 greeneggs sshd[3545]: Received disconnect from ::1: 11: disconnected by user
Feb 18 23:24:05 greeneggs sshd[3545]: pam_unix(sshd:session): session closed for user root
Feb 18 23:27:15 greeneggs sudo:     saml : TTY=pts/3 ; PWD=/home/saml ; USER=root ; COMMAND=/bin/tail /var/log/secure

Bu, aşağıdakiler aracılığıyla kontrol edilir /etc/ssh/sshd_config:

# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
SyslogFacility AUTHPRIV
#LogLevel INFO

İçeriğinin yanı sıra /etc/rsyslog.conf:

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

Sorununuz

Yorumlarınızdan birinde, rsyslogdyapılandırma dosyanızın adlandırıldığından bahsettiniz /etc/rsyslog.config. Bu, bu dosya için doğru ad değil ve büyük olasılıkla günlük kaydınızın bozulmasının nedeni budur. Bu dosyanın adını değiştirin ve /etc/rsyslog.confgünlük hizmetini yeniden başlatın.

$ sudo service rsyslog restart

— slm
kaynak

Teşekkürler, merak ettim, "SyslogFacility AUTHPRIV" yorum yaptı. Sshd varsayılanların ne olduğunu nasıl bilebilir? Varsayılanlar düzenleyebileceğiniz bir yerde saklanıyor mu?

— Jidrick

Varsayılanlar, sshdyürütülebilir dosyayı derlemek için kullanılan kaynak kodundadır . Eğer isterseniz geçersiz varsayılan, sen verebilir sshdkomut satırı seçenekleri veya yapılandırma dosyasını düzenlemek.

— Mark Plotnick

@ MarkPlotnick - evet genellikle yapılandırma dosyalarında (yukarıda görüldüğü gibi) yapıldığı gibi, varsayılanlar yapılandırma dosyasında gösterilir, ancak daha sonra kullanıma sunulur. Böylece sshderlendi, bu varsayılan LogLevelolarak ayarlandı INFO. Geçersiz kılmak için bu satırın açıklamasını kaldırmanız ve ardından değerini değiştirmeniz gerekir.

— slm

Varsayılan sshdsyslog özelliği AUTH, syslog'da oturum açacaktır /var/log/messages.

sshdYeni dosyaya günlük kaydı yapmak için syslog özelliğini başka bir şeye değiştirebilir, ardından syslog'u bu yeni tesisi yeni dosyaya kaydedecek şekilde yapılandırabilirsiniz, yani:

Sshd_config içinde bu satırı ekleyin:

SyslogFacility AUTHPRIV

Sonra syslog.conf dosyasında:

authpriv.* /var/log/secure

— cuonglm
kaynak

@Jidrick - kutunuzla ilgili bir sorun var. Kırılmış ve eksik şeyler var gibi görünüyor.

— slm

@Jidrick: rsyslog gibi başkalarını kontrol edebilir misiniz?

— cuonglm

@Gnouc - SyslogFacility AUTHPRIVRH dağıtımlarında zaten varsayılan değerdir . Ambalajın bir parçası olarak geçersiz kılarlar.

— slm

@Gnouc Evet, ancak bunu değiştirmek işe yaramıyor gibi görünüyor.

— Jidrick

@Jidrick - dosyanın adını değiştirmek /etc/rsyslog.configiçin /etc/rsyslog.conf.

— slm