Thay đổi vị trí tệp nhật ký sshd trên CentOS?

Làm cách nào để thay đổi sshdvị trí tệp nhật ký trên CentOS? sshdđăng nhập để /var/log/messagesthay vì /var/log/secure. Làm cách nào tôi có thể thay đổi cài đặt để sshdsẽ dừng gửi nhật ký /var/log/messages?

Xin vui lòng gửi sshd_configmột cái gì đó khác của bạn dường như sẽ được lên. Một hệ thống CentOS chứng khoán luôn đăng nhập vào /var/log/secure.

Thí dụ

$ sudo tail -f /var/log/secure
Feb 18 23:23:34 greeneggs sshd[3545]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Feb 18 23:23:36 greeneggs sshd[3545]: Failed password for root from ::1 port 46401 ssh2
Feb 18 23:23:42 greeneggs unix_chkpwd[3555]: password check failed for user (root)
Feb 18 23:23:42 greeneggs sshd[3545]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Feb 18 23:23:43 greeneggs sshd[3545]: Failed password for root from ::1 port 46401 ssh2
Feb 18 23:23:48 greeneggs sshd[3545]: Accepted password for root from ::1 port 46401 ssh2
Feb 18 23:23:48 greeneggs sshd[3545]: pam_unix(sshd:session): session opened for user root by (uid=0)
Feb 18 23:24:05 greeneggs sshd[3545]: Received disconnect from ::1: 11: disconnected by user
Feb 18 23:24:05 greeneggs sshd[3545]: pam_unix(sshd:session): session closed for user root
Feb 18 23:27:15 greeneggs sudo:     saml : TTY=pts/3 ; PWD=/home/saml ; USER=root ; COMMAND=/bin/tail /var/log/secure

Điều này được kiểm soát thông qua /etc/ssh/sshd_config:

# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
SyslogFacility AUTHPRIV
#LogLevel INFO

Cũng như nội dung của /etc/rsyslog.conf:

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

Vấn đề của bạn

Trong một trong những bình luận của bạn, bạn đã đề cập rằng rsyslogdtập tin cấu hình của bạn đã được đặt tên /etc/rsyslog.config. Đó không phải là tên chính xác cho tệp này và có thể là lý do đăng nhập của bạn bị sai lệch. Thay đổi tên của tệp này thành /etc/rsyslog.confvà sau đó khởi động lại dịch vụ ghi nhật ký.

$ sudo service rsyslog restart

sshdCơ sở syslog mặc định là AUTH, vì vậy nó sẽ được đăng nhập vào syslog /var/log/messages.

Để tạo sshdnhật ký cho tệp mới, bạn có thể thay đổi cơ sở syslog thành một thứ khác, sau đó cấu hình syslog để ghi nhật ký cơ sở mới này vào tệp mới, tức là:

Trong sshd_config, thêm dòng này:

SyslogFacility AUTHPRIV

Sau đó, trong syslog.conf:

authpriv.* /var/log/secure