Linux中怎么查看SSH登录失败日志

在Linux中可以通过查看系统的安全日志文件来查看SSH登录失败的日志。通常，这些日志位于/var/log/secure或/var/log/auth.log文件中，具体位置取决于用户所使用的Linux发行版。以下是查看SSH登录失败日志的一般步骤：

1.打开终端或SSH到您的Linux服务器。

使用以下命令来查看/var/log/secure或/var/log/auth.log文件的最后几行，这些日志文件包含SSH登录的信息：

[root@vps ~]# tail -10 /var/log/secure
Jul  7 16:44:37 localhost sshd[115755]: Connection closed by 101.101.101.101 port 123 [preauth]
Jul  8 00:45:18 localhost sshd[119210]: Accepted publickey for root from 123.214.200.211 port 114 ssh2: RSA SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxM/HdFU
Jul  8 00:45:18 localhost sshd[119210]: pam_unix(sshd:session): session opened for user root by (uid=0)

2.对于/var/log/secure(在Red Hat、CentOS和Fedora等发行版中使用)：

sudo tail /var/log/secure

对于/var/log/auth.log(在Debian和Ubuntu等发行版中使用)：

sudo tail /var/log/auth.log

如果您想查看更多行，可以使用-n选项指定行数，例如：

sudo tail -n 50 /var/log/secure

这将显示最后50行的内容。

3.搜索日志以查找SSH登录失败的记录。通常，SSH登录失败的消息包含"Failed"或"authentication failure"等关键词。如果有多个失败尝试，每次失败尝试通常都会记录。

4.如果您希望实时查看日志以获取新的登录失败记录，可以使用tail命令的-f选项，如下所示：

对于/var/log/secure：

sudo tail -f /var/log/secure

对于/var/log/auth.log：

sudo tail -f /var/log/auth.log

这将持续监视日志文件，并将新的日志实时显示在终端上。

如果您在日志中看到频繁的SSH登录失败记录，这可能表明有安全问题，如暴力破解尝试。在这种情况下，您应该采取适当的安全措施来保护您的服务器，如使用强密码、禁用root用户SSH访问、使用SSH密钥认证等。