如何查看sshd日志？

Question

我安装了 Ubuntu 9.10 sshd，我可以使用登录名和密码成功连接到它。我已经配置了一个RSA密钥登录，现在正如预期的那样“服务器拒绝了我们的密钥”。好的，现在我想检查sshd日志以找出问题。我检查过/etc/ssh/sshd_config，它有

SyslogFacility AUTH
LogLevel INFO

好的。我正在看/var/log/auth.log……它是空的 O_O。更改Loglevel为VERBOSE无济于事 -auth.log仍然是空的。任何提示我如何检查sshd日志？

Answer 1

根据以上评论创建答案，归功于@Prof。莫里亚蒂和@地狱之眼

SSH 身份验证失败记录在此处 /var/log/auth.log

以下应该只给你 ssh 相关的日志行

grep 'sshd' /var/log/auth.log

保险起见，获取最后几百行然后搜索（因为如果日志文件太大，整个文件的grep会消耗更多系统资源，更不用说运行时间更长）

查看日志最后 500 行中的 sshd 条目：

tail -n 500 /var/log/auth.log | grep 'sshd'

或者在测试时遵循日志输出：

tail -f -n 500 /var/log/auth.log | grep 'sshd'

Answer 2

如果您可以轻松地再次尝试失败的连接，一种简单的方法是在空闲端口上启动 SSH 服务器，例如2222：

/usr/sbin/sshd -d -p 2222

然后重试连接：

ssh -p 2222 user@host

通过使用不同的端口-p 2222，我们不必停止主 SSH 服务器，这可能会将我们锁定。

另见：https : //unix.stackexchange.com/a/55481/32558

Answer 3

如果此时没有其他人在使用该系统，您可以在这种情况下执行我所做的操作：

• 停止 sshd 服务（至少我在通过 ssh 登录时能够做到这一点）
• 手动启动 sshd 并添加一些 -d 选项以获得更详细的调试输出。除非你有一些时髦的事情发生，否则它应该使用相同的键和配置它在正确启动时所做的

Answer 4

查看日志的现代方式

1. 所有关于sshd:
   journalctl -t sshd
   或
   journalctl -u sshwhere 的消息-u == unit

2. 关于sshd上次启动的消息：
   journalctl -t sshd -b0

3. sshd上次启动后的消息以相反的顺序：
   journalctl -t sshd -b0 -r

Answer 5

如果您想查看有关 sshd 的所有日志消息，请运行以下命令：

grep -rsh sshd /var/log |sort

Answer 6

您可以使用以下命令查看 SSH 的日志：

tail -f /var/log/auth.log