登录失败需检查/var/log/auth.log或/var/log/secure日志，定位失败原因；2. 验证用户账户状态、锁定情况及系统识别问题；3. 检查ssh配置和PAM模块限制；4. 排查客户端输入、网络及防火墙问题。
在linux系统中，用户登录失败通常与认证配置、账户状态或安全策略有关。要准确排查问题，需结合系统日志和服务配置进行分析。以下是一些关键步骤和方法。
检查系统认证日志
登录失败信息主要记录在 /var/log/auth.log（debian/ubuntu）或 /var/log/secure（RHEL/centos）中。使用 grep 过滤相关条目：
sudo grep “Failed” /var/log/auth.log
sudo grep “authentication failure” /var/log/secure
查看输出中的用户名、源IP和时间戳，确认是否为误输密码、无效用户或远程暴力尝试。
验证账户状态和权限
某些账户可能被锁定或禁用。使用以下命令检查：
- passwd -S username：查看密码状态（是否过期、锁定）
- sudo faillock –user username：查看因失败次数过多被PAM锁定的情况
- id username：确认用户是否存在且属组正确
- getent passwd username：检查用户是否能被系统识别（尤其用于LDAP/NIS环境）
检查SSH和PAM配置
如果通过SSH登录失败，需检查 /etc/ssh/sshd_config 中的设置：
- PermitRootLogin 是否允许root登录
- AllowUsers 或 DenyUsers 列表是否包含该用户
- PasswordAuthentication 是否启用密码登录
PAM模块也会影响认证流程。查看 /etc/pam.d/sshd 或 /etc/pam.d/login 是否有额外限制，如访问控制文件 /etc/security/access.conf 可能阻止特定用户或IP登录。
排查网络和客户端问题
有时问题并非出在服务器端。确认客户端是否：
- 使用正确的用户名（注意大小写）
- 输入了正确密码或私钥
- 网络可达且未被防火墙拦截（可检查 iptables/nftables 规则）
- SSH客户端配置是否正常（如密钥代理、协议版本）
基本上就这些。结合日志定位方向，再逐项排除账户、服务和网络因素，大多数登录问题都能找到根源。关键是养成查看日志的习惯，别一上来就改配置。