Сервер Kerberos и журналы

/var/log/auth.log. Я бы никогда не посмотрела туда.

вот как я его нашел:

1. и sendto в выводе strace, который начинался с даты / времени, как мог бы иметь журнал.

2. выделил его:

   # strace krb5kdc -n 2>&1 | grep sendto
   sendto(3, "<35>Feb 13 17:43:41 krb5kdc[2400"..., 115, MSG_NOSIGNAL, NULL, 0) = 115
   

3. Поиск вызова socket, чтобы увидеть, куда это идет.

   # strace krb5kdc -n 2>&1 | grep 'socket\|connect'
   socket(PF_FILE, SOCK_DGRAM|SOCK_CLOEXEC, 0) = 3
   connect(3, {sa_family=AF_FILE, path="/dev/log"}, 110) = 0
   

4. выяснить, где /dev/log идет, но я выясняю системный регистратор на этом точка:

   # netstat -xp | grep /dev/log
   unix  5      [ ]         DGRAM                    7731     671/rsyslogd        /dev/log
   

5. на самом деле не говорит мне, где, но возвращаясь к оригиналу strace, мы можем задать strace чтобы не обрезать строку:

   # strace -s 1000 krb5kdc -n 2>&1 | grep sendto
   sendto(3, "<35>Feb 13 17:47:05 krb5kdc[24194]: LDAP bind dn value missing  - while initializing database for realm EXAMPLE.COM", 115, MSG_NOSIGNAL, NULL, 0) = 115
   

6. rsyslog, вероятно, входит где-то в /var/log и теперь у меня есть сообщение журнала. Просто grep для этого:

   # cd /var/log && grep -R * -e 'LDAP bind dn'
   «tons of hits in auth.log»