核心是三步：将sshd日志路由至独立分区目录（如/var/log/ssh/auth.log），对该分区启用root用户磁盘配额（如2gb硬限制），再通过logrotate配置maxsize 50m+daily+rotate 30+delaycompress+postrotate通知rsyslog重载句柄，确保隔离存储、容量可控、轮转安全不丢日志。

要把 sshd 日志重定向到独立分区并用 logrotate 安全保存，核心是三步：让日志写进独立挂载点、限制该分区的写入总量、轮转时避免中断和冲突。不依赖默认 /var/log，才能真正防日志撑爆系统盘或被恶意填满。

一、将 SSH 日志路由到独立分区目录

先确保目标分区已挂载（例如 /dev/sdb1 挂在 /var/log/ssh），且权限为 0700，属主 root:root：

• 修改 /etc/ssh/sshd_config，设 SyslogFacility local0
• 在 /etc/rsyslog.d/ssh-redirect.conf 中添加：
  local0.* /var/log/ssh/auth.log
• 重启服务：sudo systemctl restart rsyslog sshd

验证：执行 logger -p local0.info "test" 后检查 /var/log/ssh/auth.log 是否有新条目。

二、为独立分区启用磁盘配额并限制 root 写入

auditd 和 sshd 都以 root 身份写日志，普通用户配额无效，必须对 root 设硬限额：

• 编辑 /etc/fstab，在 /var/log/ssh 对应行加入 usrquota,grpquota
• 重新挂载：sudo mount -o remount /var/log/ssh
• 初始化配额数据库：sudo quotacheck -cug /var/log/ssh
• 给 root 设 2GB 硬上限：sudo setquota -u root 0 2097152 0 0 /var/log/ssh（单位 KB）

这样即使攻击者暴力刷 SSH 登录，日志也无法突破分区容量上限。

三、配置 Logrotate 实现安全轮转

在 /etc/logrotate.d/sshd 中写入以下内容，关键点是 maxsize + postrotate + delaycompress：

• /var/log/ssh/auth.log {
• maxsize 50M —— 单文件超 50MB 立即轮转，防突发日志洪峰
• daily —— 同时保留每日兜底策略
• rotate 30 —— 保留 30 个归档
• compress —— 归档后压缩
• delaycompress —— 上一轮刚生成的 .1 不压缩，避免 rsyslog 写冲突
• missingok —— 文件不存在也不报错
• notifempty —— 空文件不轮转
• create 0600 root root —— 新日志权限严格
• sharedscripts
• postrotate
• /bin/kill -USR1 $(cat /var/run/rsyslogd.pid 2>/dev/null) 2>/dev/null || true
• endscript
• }

注意：这里发 USR1 是通知 rsyslog 重载日志文件句柄，不是重启服务，不会丢日志。

四、附加加固项（可选但推荐）

进一步提升完整性与可审计性：

• 在 /etc/audit/rules.d/ssh.rules 加监控规则：-w /var/log/ssh/auth.log -p wa -k ssh_log_access，记录谁读写过该日志
• 设置 SELinux 上下文：sudo semanage fcontext -a -t var_log_t "/var/log/ssh(/.*)?"，再 restorecon -Rv /var/log/ssh
• 定期校验日志哈希：sha256sum /var/log/ssh/auth.log* 存档到离线介质

整套机制让 SSH 日志既隔离存储、又受容量约束、还能自动归档清理，同时保障轮转过程不丢事件、不中断服务。