能实现服务器账户认证失败邮件通知，核心是用Linux自带日志和mail工具构建“识别失败→比对记录→触发告警”链路：先配置SMTP发信能力，再提取auth.log或secure中最新失败登录的IP与用户，最后通过每分钟执行的脚本比对历史记录并发送告警邮件。
配置服务器账户认证失败邮件通知，核心是让系统在检测到非法登录尝试时，自动发邮件“喊人”。不依赖第三方监控平台，用 Linux 自带日志+邮件工具就能实现，关键是打通“识别失败行为→比对新旧记录→触发告警”这条链路。
一、先让服务器能稳定发邮件
没发信能力，告警就是空转。重点不是装什么工具，而是配对 SMTP 参数并验证通路：
- Debian/Ubuntu 运行：sudo apt install mailutils；CentOS/RHEL 运行：sudo yum install mailx
- 编辑 /etc/mail.rc，追加以下内容（以 QQ 邮箱为例，务必替换为你自己的邮箱和授权码）：
set from=yourname@qq.com
set smtp=smtps://smtp.qq.com:465
set smtp-auth-user=yourname@qq.com
set smtp-auth-password=your_app_password
set smtp-auth=login
set ssl-verify=ignore
set nss-config-dir=/etc/pki/nssdb/ - 测试是否生效：echo "测试邮件" | mail -s "告警测试" yourname@163.com，收到即成功
二、精准抓取刚发生的失败登录记录
失败日志在 /var/log/auth.log（Debian/Ubuntu）或 /var/log/secure（RHEL/CentOS），但不能全量扫描——要提取最新一条、且是“新出现”的失败事件：
- 典型失败行：Failed password for root from 192.168.1.100 port 22 ssh2
- 快速提取最新失败的 IP 和用户：awk '/Failed password/ {print $(NF-3), $9}' /var/log/auth.log | tail -1，输出类似：192.168.1.100 root
- 关键逻辑：只关注“最新一条”，再与历史记录比对，避免重复告警
三、写一个轻量脚本，每分钟自动检查
不用改 SSH 或 PAM 配置，用定时任务驱动脚本，低侵入、易调试：
- 新建脚本：/usr/local/bin/alert-login-fail.sh，内容如下：
#!/bin/bash
LOG="/var/log/auth.log"
TMP="/tmp/last_fail_ip"
LAST=$(tail -1 "$LOG" | awk '/Failed password/ {print $(NF-3), $9}')
if [ -n "$LAST" ] && ! grep -q "$LAST" "$TMP" 2>/dev/null; then
echo "$LAST $(date)" >> "$TMP"
echo "⚠️ 检测到异常登录失败\nIP:$(echo $LAST | awk '{print $1}')\n用户:$(echo $LAST | awk '{print $2}')\n时间:$(date)" | mail -s "【服务器告警】登录失败" admin@example.com
fi - 赋予执行权限：chmod +x /usr/local/bin/alert-login-fail.sh
- 添加定时任务（每分钟运行一次）：crontab -e，加入：* * * * * /usr/local/bin/alert-login-fail.sh
四、常见失败原因与快速排查
如果脚本运行后没收到邮件，别急着重写，先看这三类高频问题：
- SMTP 认证失败：错误码 535 Authentication failed，大概率是用了邮箱密码而非授权码，或账号没填全（如只填 user 没填 user@qq.com）
- 端口不通：云服务器常屏蔽 25 端口，优先用 465（SSL）或 587（TLS），用 telnet smtp.qq.com 465 测试连通性
- 日志路径不对：确认你的系统日志路径，CentOS 8+ 可能用 journalctl -u sshd 替代文件解析，需调整脚本逻辑
