在Linux系统的日常运维和安全审计中，登录日志是至关重要的一环，它不仅记录了谁在何时成功或失败地登录了系统，更是排查登录问题、追踪潜在安全威胁的第一手资料，理解并能够熟练分析这些日志，是每一位系统管理员的必备技能，本文将深入探讨Linux登录报错日志的核心文件、常见错误类型及其分析方法,并提供实用的工具和技巧。
核心日志文件
Linux系统将登录相关的信息分散记录在不同的日志文件中，主要取决于系统的发行版和使用的日志服务,最核心的几个文件如下：
-
/var/log/secure(RHEL/CentOS/Fedora系列)
这个文件是安全相关的“圣杯”，它详细记录了所有通过SSH、本地控制台等方式进行的身份验证尝试，包括成功和失败的登录、su/sudo操作等，当你遇到登录问题时,这应该是第一个要检查的地方。 -
/var/log/auth.log(Debian/Ubuntu系列)
功能与/var/log/secure完全相同，只是Debian系发行版采用的默认路径,它同样包含了所有认证事件的详细信息。 -
/var/log/wtmp和/var/log/btmp
这两个是二进制文件，无法直接用cat或less查看。wtmp：记录所有成功的登录和注销事件，可以使用last命令来读取,显示用户的登录历史记录。btmp：记录所有失败的登录尝试，可以使用lastb命令来读取,这对于发现暴力破解攻击非常有用。
常见登录报错及排查思路
通过查看日志，我们经常会遇到一些典型的报错信息,下表汇总了最常见的几种情况及其排查方法。
| 报错信息示例 | 可能原因 | 排查与解决方法 |
|---|---|---|
Failed password for invalid user admin from 192.168.1.100 |
暴力破解攻击，攻击者在尝试猜测常见的用户名和密码组合。 | 检查源IP地址，判断是否为已知威胁。 2. 配置防火墙（如 firewalld或iptables）封禁该IP。 3. 部署 fail2ban等工具自动封禁频繁尝试登录的IP。 4. 修改SSH默认端口。 |
Failed password for testuser from 192.168.1.101 |
密码错误，用户输入了错误的密码，或者用户已被锁定。 | 确认用户名和密码是否正确。 2. 使用 passwd testuser为用户重置密码。 3. 检查账户是否被锁定： passwd -S testuser，若显示L则被锁定，可用passwd -u testuser解锁。 |
Permission denied (publickey,password). |
多种认证方式均失败，可能SSH密钥不匹配，且密码也错误。 | 密码问题：同上，检查密码。 2. 密钥问题：检查客户端 ~/.ssh/id_rsa私钥和服务器端~/.ssh/authorized_keys公钥是否匹配、权限是否正确（通常为600）。 |
Connection refused |
服务未运行或端口被阻止，SSH服务可能没有启动，或者防火墙/安全组阻止了连接。 | 在服务器上检查SSH服务状态：systemctl status sshd，若未运行，则启动它：systemctl start sshd。 2. 检查SSH服务监听的端口： ss -tlnp | grep sshd。 3. 检查防火墙规则，确保SSH端口（默认22）已开放。 |
pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=... user=root |
Root登录被禁止，出于安全考虑，很多系统默认禁止root用户直接通过SSH登录。 | 使用普通用户登录，然后通过su -或sudo切换到root。 2. 如需允许root登录（不推荐），编辑 /etc/ssh/sshd_config文件，将PermitRootLogin no改为PermitRootLogin yes，然后重启SSH服务。 |
高效查看日志的工具与技巧
面对海量日志,掌握高效的查看工具至关重要。
-
grep：最强大的文本搜索工具,可以快速过滤出你关心的信息。
grep "Failed password" /var/log/secure：查看所有密码失败的记录。grep "Accepted password" /var/log/secure：查看所有成功登录的记录。grep "Invalid user" /var/log/secure：查看所有对不存在用户的登录尝试。
-
tail：用于查看文件的末尾部分。
tail -f可以实时追踪日志文件的更新,非常适合在调试登录问题时动态观察。tail -f /var/log/secure：实时监控认证日志。
-
journalctl：对于使用
systemd的现代Linux发行版，journalctl是统一管理日志的中心工具。journalctl -u sshd -f：实时查看SSH服务的日志。journalctl -u sshd --since "1 hour ago"：查看过去一小时内SSH服务的日志。
相关问答 (FAQs)
Q1: 如何查找某个特定用户（例如alice）在最近一周的所有成功登录记录？
A: 可以结合last命令和grep命令，或者直接使用journalctl（如果系统使用systemd）。
-
使用
last命令：last alice | grep "$(date '+%a %b %d')" -A 7这个命令不够精确，更简单的方式是：last alice -s -7days（-s since, -7days 七天前开始）
-
使用
journalctl：journalctl -u sshd --since "7 days ago" | grep "Accepted.*alice"
Q2: 登录日志文件（如/var/log/secure）变得非常大，占用了过多磁盘空间，该如何处理？
A: Linux系统通常使用logrotate工具来自动管理日志文件，包括轮转、压缩和删除旧日志。
- 检查配置：
logrotate的配置文件是/etc/logrotate.conf，针对特定服务的配置文件存放在/etc/logrotate.d/目录下，你可以查看/etc/logrotate.d/syslog或类似文件来了解secure或auth.log的轮转规则。 - 手动执行轮转：如果需要立即清理，可以手动执行
logrotate，命令如下：
sudo logrotate -f /etc/logrotate.conf
-f参数表示强制执行，即使轮转条件（如时间、大小）未满足。 - 调整策略：如果默认策略不符合需求，可以编辑相应的配置文件，调整保留日志的数量（
rotate参数）、轮转频率（daily,weekly,monthly）或日志大小阈值（size参数）,以更好地管理磁盘空间。
【版权声明】：本站所有内容均来自网络，若无意侵犯到您的权利，请及时与我们联系将尽快删除相关内容!
