| 配对键 | 用户名 + 来源 IP + 端口 |
|---|---|
| 时长 | 结束时间 - 开始时间 |
配对查看
配对查看
grep -E 'Accepted|Disconnect|session closed' /var/log/auth.log | tail -20同一 IP 多次登录时用客户端端口区分会话。
SSH 会话时长计算
auth.log 中 Accepted 与 Disconnect/Closed 成对出现时，可计算单次会话时长；缺失结束记录通常意味着异常退出或日志中断。
易错点
- 端口复用可能造成配对歧义
- 时区未统一的端点计算会给出负时长
数据来源与参考
- OpenSSH 日志格式文档
- SANS SSH 日志资料