Speicherort der sshd-Protokolldatei unter CentOS ändern?

Wie ändere ich den sshdSpeicherort der Protokolldatei unter CentOS? sshdmeldet sich an /var/log/messagesstatt an /var/log/secure. Wie kann ich die Einstellung ändern, damit sshdkeine Protokolle mehr gesendet werden /var/log/messages?

centos logs

— Jidrick
quelle

Schreiben Sie weiter, /var/log/messageist das wirklich der Ort? Es ist im Allgemeinen /var/log/messages.

— SLM

@slm hier war es /var/log/messages, vielleicht hat OP beide ;-)

— Anthon

Auf meinem Ubuntu-System ist das SSH-Protokoll angemeldet/var/log/auth.log

— Eric Wang,

Antworten:

Bitte posten Sie Ihre sshd_configetwas anderes scheint zu sein. Ein Lager-CentOS-System meldet sich immer an /var/log/secure.

Beispiel

$ sudo tail -f /var/log/secure
Feb 18 23:23:34 greeneggs sshd[3545]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Feb 18 23:23:36 greeneggs sshd[3545]: Failed password for root from ::1 port 46401 ssh2
Feb 18 23:23:42 greeneggs unix_chkpwd[3555]: password check failed for user (root)
Feb 18 23:23:42 greeneggs sshd[3545]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Feb 18 23:23:43 greeneggs sshd[3545]: Failed password for root from ::1 port 46401 ssh2
Feb 18 23:23:48 greeneggs sshd[3545]: Accepted password for root from ::1 port 46401 ssh2
Feb 18 23:23:48 greeneggs sshd[3545]: pam_unix(sshd:session): session opened for user root by (uid=0)
Feb 18 23:24:05 greeneggs sshd[3545]: Received disconnect from ::1: 11: disconnected by user
Feb 18 23:24:05 greeneggs sshd[3545]: pam_unix(sshd:session): session closed for user root
Feb 18 23:27:15 greeneggs sudo:     saml : TTY=pts/3 ; PWD=/home/saml ; USER=root ; COMMAND=/bin/tail /var/log/secure

Dies wird gesteuert durch /etc/ssh/sshd_config:

# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
SyslogFacility AUTHPRIV
#LogLevel INFO

Sowie den Inhalt von /etc/rsyslog.conf:

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

Ihr Problem

In einem Ihrer Kommentare haben Sie erwähnt, dass Ihre rsyslogdKonfigurationsdatei benannt wurde /etc/rsyslog.config. Das ist nicht der richtige Name für diese Datei und wahrscheinlich der Grund, warum Ihre Protokollierung fehlerhaft ist. Ändern Sie den Namen dieser Datei in /etc/rsyslog.confund starten Sie den Protokollierungsdienst neu.

$ sudo service rsyslog restart

— slm
quelle

Danke, ich habe mich gefragt, ob "SyslogFacility AUTHPRIV" auskommentiert ist. Woher weiß sshd, wie die Standardeinstellungen lauten? Werden die Standardeinstellungen an einem Ort gespeichert, den Sie bearbeiten können?

— Jidrick

Die Standardeinstellungen befinden sich im Quellcode, der zum Kompilieren der sshdausführbaren Datei verwendet wurde. Wenn Sie die Standardeinstellungen überschreiben möchten , können Sie sshdBefehlszeilenoptionen angeben oder die Konfigurationsdatei bearbeiten.

— Mark Plotnick

@MarkPlotnick - Ja, wie in Konfigurationsdateien üblich (wie oben dargestellt). Die Standardeinstellungen werden in der Konfigurationsdatei angezeigt, aber dann kommentiert. So sshkompiliert wurde , so dass LogLevelfestgelegt wurde INFOstandardmäßig. Um es zu überschreiben, müssen Sie diese Zeile auskommentieren und dann ihren Wert ändern.

— SLM

Die Standard- sshdSyslog-Funktion ist AUTH, daher wird sie in Syslog bei angemeldet /var/log/messages.

Um eine sshdneue Datei zu protokollieren, können Sie die Syslog-Funktion in eine andere ändern und anschließend Syslog so konfigurieren, dass diese neue Funktion in einer neuen Datei protokolliert wird.

Fügen Sie in sshd_config die folgende Zeile hinzu:

SyslogFacility AUTHPRIV

Dann in der syslog.conf:

authpriv.* /var/log/secure

— cuonglm
quelle

@Jidrick - irgendwas stimmt nicht mit deiner Box. Es scheint kaputt zu sein und Dinge zu fehlen.

— SLM

@Jidrick: kannst du nach anderen wie rsyslog suchen?

— Cuonglm

@Gnouc - SyslogFacility AUTHPRIVist bereits die Standardeinstellung für RH-Distributionen. Sie überschreiben es als Teil der Verpackung.

— SLM

@ Gnouc Ja, aber das scheint nicht zu funktionieren.

— Jidrick

@Jidrick - Ändern Sie den Namen der Datei /etc/rsyslog.configin /etc/rsyslog.conf.

— slm