Altera a localização do arquivo de log do sshd no CentOS?

Question

Como altero a localização do arquivo de log sshd no CentOS? sshd logs para /var/log/messages em vez de /var/log/secure . Como posso alterar a configuração de modo que sshd pare de enviar logs para /var/log/messages ?

    

Answer 1

Por favor, poste sua sshd_config alguma outra coisa parece estar acontecendo. Um sistema de estoque CentOS sempre registra em /var/log/secure .

Exemplo

$ sudo tail -f /var/log/secure
Feb 18 23:23:34 greeneggs sshd[3545]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Feb 18 23:23:36 greeneggs sshd[3545]: Failed password for root from ::1 port 46401 ssh2
Feb 18 23:23:42 greeneggs unix_chkpwd[3555]: password check failed for user (root)
Feb 18 23:23:42 greeneggs sshd[3545]: pam_succeed_if(sshd:auth): requirement "uid >= 1000" not met by user "root"
Feb 18 23:23:43 greeneggs sshd[3545]: Failed password for root from ::1 port 46401 ssh2
Feb 18 23:23:48 greeneggs sshd[3545]: Accepted password for root from ::1 port 46401 ssh2
Feb 18 23:23:48 greeneggs sshd[3545]: pam_unix(sshd:session): session opened for user root by (uid=0)
Feb 18 23:24:05 greeneggs sshd[3545]: Received disconnect from ::1: 11: disconnected by user
Feb 18 23:24:05 greeneggs sshd[3545]: pam_unix(sshd:session): session closed for user root
Feb 18 23:27:15 greeneggs sudo:     saml : TTY=pts/3 ; PWD=/home/saml ; USER=root ; COMMAND=/bin/tail /var/log/secure

Isso é controlado por /etc/ssh/sshd_config :

# Logging
# obsoletes QuietMode and FascistLogging
#SyslogFacility AUTH
SyslogFacility AUTHPRIV
#LogLevel INFO

Além do conteúdo de /etc/rsyslog.conf :

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

Seu problema

Em um de seus comentários, você mencionou que seu arquivo de configuração rsyslogd foi denominado /etc/rsyslog.config . Esse não é o nome correto para este arquivo, e é provavelmente a razão pela qual seu registro está errado. Altere o nome desse arquivo para /etc/rsyslog.conf e reinicie o serviço de registro.

$ sudo service rsyslog restart

    

Answer 2

O recurso padrão sshd syslog é AUTH , portanto, ele será registrado no syslog como /var/log/messages .

Para tornar o sshd log em um novo arquivo, você pode alterá-lo como syslog para outros, e config syslog para registrar esse novo recurso em um novo arquivo, por exemplo:

Em sshd_config, adicione esta linha:

SyslogFacility AUTHPRIV

Em seguida, no syslog.conf:

authpriv.* /var/log/secure