我的 SSH 日志中的这些条目是什么意思？

Question

我最近注意到我的 SSH 日志中有来自未知 IP 地址的条目。我执行了grep提取所有不包含我自己的 IP 地址的全部内容。我收到了这个：

Jul 24 22:06:54 server1 sshd[8261]: Accepted publickey for root from xxx.xxx.xx.xxx port 39721 ssh2
Jul 25 04:06:50 server1 sshd[8233]: Accepted publickey for root from xxx.xxx.xx.xxx port 40800 ssh2
Jul 25 04:08:30 server1 sshd[8233]: Received disconnect from xxx.xxx.xx.xxx: 11: disconnected by user

我有几个问题：

• 前两行是成功登录还是尝试登录？
• 第三行是否因成功或尝试登录而导致断开连接？
• sshdPID后方括号中的四位数是 PID 吗？

我在专用服务器上运行 CentOS 5。我正在使用 OpenSSH。

Answer 1

前两行是成功登录。

第三行表示在第二行上建立的连接是断开连接的（注意方括号中的 PID，在本例中为 8233，是相同的，表示生成并接受公钥的 SSHD 进程现在已断开连接......相同的过程在日志中生成了两行）。

PID 是您可以用来跟踪特定会话的方法。当与 SSHD 建立连接时，会产生一个具有唯一 PID 的新进程（在任何一个实例中都是唯一的 - 该 PID 可能会在一段时间后重新使用，可能几个小时或几天后，因为所有 PID 最终都会被回收）。只要连接存在，该过程就会与连接保持一致。因此，如果您对特定 PID 进行 grep，您可以获得该连接上发生的事情的历史记录。