O lastlog é impresso pelo PAM usando o módulo pam_lastlog
. Se não estiver na sua pilha PAM em /etc/pam.d/sshd
(nem em outros arquivos incluídos), você pode adicionar as linhas como:
session [default=1] pam_lastlog.so nowtmp silent
session optional pam_lastlog.so silent noupdate showfailed
(tirado do meu /etc/pam.d/postlogin
no Fedora 25)