SSHD服务的日志存储位置-错误日志分析-修改日志存储位置
1、sshd服务日志存放在：/var/log/secure
奇怪sshd配置文件中没有制定，但日志却存放在这？
2、修改sshd日志存储位置方法
vim /etc/rsyslog.conf
# The authprivfilehas restricted access.
authpriv.* /var/log/secure
tailf /var/log/secure
因为secure存放了很多服务器的日志，对日志分析很麻烦，我们应该把日志另外存放，配置ssh配置文件
[root@master ~]# vim /etc/ssh/sshd_config
#SyslogFacility AUTH
SyslogFacility AUTHPRIV
#LogLevel INFO
改 SyslogFacility local1
更改日志服务配置
[root@master ~]# vim /etc/rsyslog.conf
#sign
local1.* /var/log/sshd.log
重启日志服务和sshd服务
3、错误日志分析
使用ssh远程登录一直不能登录，输入正确的用户名密码也不能额登录，使用其他主机，部分可以登录，部分不能登录。sshd服务对终端用户登录做了限制。错误日志打印如下：
sshd错误日志打印
可以看到是因为登录用户没有在AllowUsers中列出。
修改/etc/ssh/sshd_config配置文件，将新主机添加到AllowUsers列表中，或者删除这一行，对登录用户不做限制即可。
