Debian SFTP日志在哪查看

查看 Debian 上 SFTP 日志的位置与方法

在 Debian 系统中，SFTP 是 SSH 的一部分，日志默认由 sshd 写入系统认证日志。常见查看方式如下。

常用日志路径与查看命令

• 查看认证日志（最常见）：sudo tail -f /var/log/auth.log | grep sftp
• 若 auth.log 无输出，查看系统日志：sudo tail -f /var/log/syslog | grep sftp
• 使用 systemd 查看 sshd 日志：sudo journalctl -u ssh.service -f | grep sftp
• 说明：SFTP 没有独立日志文件，其会话与认证信息均记录在 SSH 服务日志中。

快速排查示例

• 实时观察登录与 SFTP 会话：
  • sudo tail -f /var/log/auth.log | egrep 'sshd|sftp'
• 按 IP 过滤某用户的连接：
  • sudo grep 'Accepted.*user@1.2.3.4' /var/log/auth.log
• 查看最近 50 行并高亮关键字：
  • sudo tail -n 50 /var/log/auth.log | grep --color=auto sftp
• 若使用 systemd，也可直接跟踪 ssh 单元：
  • sudo journalctl -u ssh.service -f | grep sftp

日志级别与输出位置调整

• 提高日志详细度（编辑 /etc/ssh/sshd_config）：
  • 全局日志级别：LogLevel VERBOSE
  • 仅调整 SFTP 子系统日志：Subsystem sftp internal-sftp -l INFO
• 应用更改并重启服务：
  • sudo systemctl restart ssh
• 自定义日志文件（可选，使用 rsyslog）：
  • 在 /etc/rsyslog.d/50-default.conf 中添加：if $programname == 'sshd' then /var/log/sftp.log & stop
  • 重启 rsyslog：sudo systemctl restart rsyslog
  • 之后可在 /var/log/sftp.log 查看相关日志。

常见问题与提示

• 权限不足时请在命令前加 sudo；部分系统将 SSH 日志写入 /var/log/syslog 而非 auth.log，可同时检查两处。
• 若未见 SFTP 记录，确认 sshd 正在运行：sudo systemctl status ssh，并确保有用户通过 SFTP 登录过（日志为事件驱动，未连接不会产生条目）。