登录失败需检查 /var/log/auth.log 或 /var/log/secure 日志，定位失败原因；2. 验证用户账户状态、锁定情况及系统识别问题；3. 检查 ssh 配置和 PAM 模块限制；4. 排查客户端输入、网络及 防火墙 问题。
在 linux 系统中，用户登录失败通常与认证配置、账户状态或安全策略有关。要准确排查问题，需结合系统日志和服务配置进行分析。以下是一些关键步骤和方法。
检查系统认证日志
登录失败信息主要记录在 /var/log/auth.log（debian/ubuntu）或 /var/log/secure（RHEL/centos）中。使用 grep 过滤相关条目：
sudo grep “Failed” /var/log/auth.log
sudo grep “authentication failure” /var/log/secure
查看输出中的用户名、源 IP 和时间戳，确认是否为误输密码、无效用户或远程暴力尝试。
验证账户状态和权限
某些账户可能被锁定或禁用。使用以下命令检查：
- passwd -S username：查看密码状态（是否过期、锁定）
- sudo faillock –user username：查看因失败次数过多被 PAM 锁定的情况
- id username：确认用户是否存在且属组正确
- getent passwd username：检查用户是否能被系统识别（尤其用于 LDAP/NIS 环境）
检查 SSH 和 PAM 配置
如果通过 SSH 登录失败，需检查 /etc/ssh/sshd_config 中的设置：
- PermitRootLogin 是否允许 root 登录
- AllowUsers 或 DenyUsers 列表是否包含该用户
- PasswordAuthentication 是否启用密码登录
PAM 模块也会影响认证流程。查看 /etc/pam.d/sshd 或 /etc/pam.d/login 是否有额外限制，如访问控制文件 /etc/security/access.conf 可能阻止特定用户或 IP 登录。
排查网络和客户端问题
有时问题并非出在服务器端。确认客户端是否：
- 使用正确的用户名（注意大小写）
- 输入了正确密码或私钥
- 网络可达且未被 防火墙 拦截（可检查 iptables/nftables 规则）
- SSH 客户端配置是否正常（如密钥代理、协议版本）
基本上就这些。结合日志定位方向，再逐项排除账户、服务和网络因素，大多数登录问题都能找到根源。关键是养成查看日志的习惯，别一上来就改配置。
