迁移SSHD sftp日志记录

Question

当前，我的邮件日志文件正在填充

Dec 19 08:46:43 XXXXXXXXX sftp-server[32357]: closedir 

还有类似的消息--是否有一个设置可以将所有sftp服务器消息移到另一个可以更好地管理的日志中？

Answer 1

所有ssh/sftp的默认日志记录都是syslog AUTH工具。

编辑/etc/openssh/sshd_config将Subsystem internal-sftp -l INFO更改为

Subsystem internal-sftp -l INFO -f LOCAL3 

其中，LOCAL3是系统中任何应用程序都不使用的工具。您可以选择任何LOCAL0到LOCAL7而不是LOCAL3。

然后打开syslog或rsyslog配置并添加以下内容

local3.*                                              /var/log/sftp.log

重新加载syslog和sftp服务器，您将看到所有sftp日志都转到/var/log/sftp.log。

还可以通过更改sshd_config中的默认工具将所有SSH/SFTP日志发送到日志文件中。

SyslogFacility LOCAL3