centos ssh日志在哪看

在 CentOS 中，SSH 相关的日志位置和查看方式取决于系统使用的日志系统版本（CentOS 6 及以前用 rsyslog + 日志文件，CentOS 7 及以后默认用 systemd-journald，日志由 journalctl 管理，但也会写文件）。

一、最常见查看方式（推荐）

✅ CentOS 7 / 8 / Stream（systemd 系统）

journalctl -u sshd

查看实时日志：

journalctl -u sshd -f

只看今天的：

journalctl -u sshd --since today

二、传统日志文件位置

1️⃣ CentOS 6 及以前

/var/log/secure

查看 SSH 登录记录：

cat /var/log/secure
grep "ssh" /var/log/secure

2️⃣ CentOS 7 / 8（rsyslog 仍默认开启）

SSH 日志通常也会写入：

/var/log/secure

查看示例：

tail -f /var/log/secure
grep "Failed password" /var/log/secure

三、常用排查命令

查看 SSH 登录失败

grep "Failed password" /var/log/secure

查看成功登录

grep "Accepted password" /var/log/secure

查看暴力破解来源 IP

grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr

四、如果日志为空或没有？

1. 确认 sshd 正在运行：

systemctl status sshd

2. 确认 rsyslog 在运行：

systemctl status rsyslog

3. 检查 sshd 配置：

grep -i logging /etc/ssh/sshd_config

推荐：

LogLevel INFO

总结一句话

• CentOS 7+：journalctl -u sshd
• 日志文件：/var/log/secure

如果你是 CentOS 几、云服务器还是物理机，我可以给你更精确的命令。