Ubuntu与vsftp的日志分析

Ubuntu 下 vsftpd 日志分析与排查指南

一日志位置与类型

二快速定位与常用命令

实时查看与检索
- 实时跟踪 vsftpd 日志：sudo tail -f /var/log/vsftpd.log
- 检索关键字（如 error）：grep -i "error" /var/log/vsftpd.log
- 按时间筛选（示例：2025-12-26）：grep "2025-12-26" /var/log/vsftpd.log
- 统计出现次数：grep "FAILED" /var/log/vsftpd.log | wc -l
认证相关
- 查看失败登录尝试：grep "FAILED" /var/log/auth.log
- 查看成功登录：grep "Accepted" /var/log/auth.log
系统级事件
- 查看 vsftpd 启动/停止：grep "vsftpd.*starting" /var/log/syslog、grep "vsftpd.*stopped" /var/log/syslog
- 使用 journalctl 跟踪服务：journalctl -u vsftpd -f
  以上命令可快速定位异常、统计事件频次，并联动系统日志做交叉验证。

三日志格式与关键字段

四高频分析场景与命令示例

统计某用户登录次数
- grep "USER" /var/log/vsftpd.log | grep "alice" | wc -l
统计失败登录 Top N IP
- grep "FAILED" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | head
今日总传输次数
- awk -v d="$(date +%b\ %d)" '$1" "d{count++} END{print count+0}' /var/log/xferlog
今日总下载流量（字节）
- awk -v d="$(date +%b\ %d)" '$1" "d && $8=="o"{sum+=$4} END{print sum}' /var/log/xferlog
今日各用户下载量排行
- awk -v d="$(date +%b\ %d)" '$1" "d && $8=="o"{u[$10]+=$4} END{for(i in u)print u[i],i}' /var/log/xferlog | sort -nr
实时观察某 IP 的活动
- tail -f /var/log/vsftpd.log | grep "203.0.113.45"
  以上示例可组合日期、用户、方向、状态等条件，快速得到连接、失败尝试、传输量与趋势。

五日志轮转与长期分析

使用 logrotate 自动轮转
- 新建配置 /etc/logrotate.d/vsftpd：
```
/var/log/vsftpd.log {
  daily
  rotate 7
  compress
  missingok
  notifempty
  create 0640 root adm
}
```
- 验证与强制执行：sudo logrotate -f /etc/logrotate.d/vsftpd
集中化与可视化
- 小规模可用 Logwatch 做日/周报摘要。
- 中大规模建议接入 ELK Stack（Elasticsearch + Logstash + Kibana） 或 Graylog，实现索引、检索、可视化与告警。
  通过轮转避免磁盘被占满，借助集中化平台提升检索与可视化效率。

最新问答