O comando last pode ser usado para visualizar quando uma sessão de usuário foi iniciada e finalizada. Neste exemplo, john.doe fez uma conexão SSH com o servidor em 6 de maio às 21:29 e desconectou às 21:51, o que significa que john.doe foi conectado por 21 minutos.
[root@server1 ~]# last
john.doe /dev/pts/0 client1.example.com Sat May 6 21:29 - 21:51 (00:21)
O arquivo /var/log/auth.log ou / var / log / secure também mostrará conexões SSH. Neste exemplo, john.doe fez uma conexão SSH com o servidor SSH às 21:29:10 e desconectou às 21:51:09.
[root@server1 ~]# tail /var/log/secure
May 6 21:29:10 server1 sshd[15970]: pam_unix(sshd:session): session open for user john.doe by (uid=0)
. . .
May 6 21:51:09 server1 sshd[15970]: pam_unix(sshd:session): session closed for user john.doe