/var/log/auth.log不记录失败的ssh尝试

10

我正在尝试在服务器上失败（错误的用户名和/或密码）。

我从更改了/ etc / ssh / sshd_config

# Logging
SyslogFacility AUTH 
LogLevel INFO

至

# Logging
SyslogFacility AUTH 
LogLevel VERBOSE

并且此后尝试对具有随机密码的现有和不存在的用户进行多次ssh尝试，因此失败了。检查/var/log/auth.log时，没有任何显示，并且完全空白。

我想念什么？是否还需要在系统上安装并运行其他一些进程？我正在运行Ubuntu。

在此问题上的任何帮助或指导都将受到欢迎。

谢谢

ssh logging authentication

— edev.io
source

1

您是否重新启动sshd？

— bonsaiviking 2012年

1

您的syslog配置是什么样的？这很可能是在一个文件/etc/syslog.conf或/etc/rsyslog.conf或/etc/rsyslog.d/*.conf

— 斯特凡Lasiewski

@StefanLasiewski的前2个为空，并/etc/rsyslog.d/*.conf说“ $ AddUnixListenSocket / var / spool / postfix / dev / log”

— edev.io，2012年

@Georgejnr：如果是这种情况，则表明系统上的syslog配置已损坏。通常在/etc/syslog.conf或/etc/rsyslog.conf下有一个syslog文件，通常在/etc/rsyslog.d/*.conf下应有一个以上的文件。是否ps aux显示系统日志进程？

— Stefan Lasiewski

@StefanLasiewski不，它没有在ps aux中列出。以前的系统管理员有点无赖，并打破了一些我认为是故意的东西。认为这可能是其中的一部分？我该如何解决此问题？

— edev.io，2012年

6

LogLevel通常（显然取决于应用程序）是指系统日志记录过程（syslog）支持的已定义严重性级别之一。因此，将其更改回并重新启动sshd服务器。

现在，如果未获得输出，则需要查看系统/etc/syslog.conf并查看正在记录的AUTH类型的请求的最小日志级别和什么文件。错误可能会转到其他日志文件。或者，由于AUTH服务的syslog.conf配置，您可能未记录这些错误。有关更多信息，请参考和syslog.conf上的手册页。

— mdpc
source

来自sshd_config（5）的 LogLevel：提供从sshd（8）记录消息时使用的详细级别。可能的值为：QUIET，FATAL，ERROR，INFO，VERBOSE，DEBUG，DEBUG1，DEBUG2和DEBUG3。

— bonsaiviking 2012年

1

我的/syslog.conf为空。我必须补充一点，我正在接管其他人的系统，看来他们在设置系统方面做得不好。缺少syslog.conf是否表示我缺少服务？（感谢您的回复）

— edev.io，2012年

文件在/ etc中...可能没有记录任何内容。

— mdpc

关于sshd_config中的VERBOSE...。我的错，但是它不是系统日志级别，在我处理的许多程序中通常都会要求它。

— mdpc

将VERBOSE仍然保留在我的sshd_config中并运行sudo /etc/init.d/ssh重新启动，它仍然没有记录在日志中。我对某事感到愚蠢吗？

— edev.io

5

当我在Debian上遇到相同的问题时，我发现必须重新启动rsyslogd：

/etc/init.d/rsyslog restart

（您的syslogd程序可能会有所不同。）

它开始再次写入/var/log/auth.log。

我不确定磁盘满事件后它已停止记录。

另请参阅：https : //bugs.launchpad.net/ubuntu/+source/rsyslog/+bug/1059854/comments/9

— 山姆·沃特金斯
source

1

这对我有用，但是使用systemctl来重新启动syslog服务（使用inetutils-syslogd的Debian sid）。 systemctl restart inetutils-syslogd.service

— Brian Minton '18

3

在我的情况下，根文件系统上没有剩余的磁盘空间 /，您可以使用来检查df -h

— 黄先生
source

3

就我而言，问题在于/var/log/auth.log文件的所有权。它属于root:root但必须属于syslog:adm。改变

sudo chown syslog:adm /var/log/auth.log

对于新创建的系统，这似乎是一个常见的问题-有更多的日志文件存在此问题。