Учебник по команде last в Linux для начинающих (8 примеров)

Команда Linux last — это полезная утилита, которая предоставляет подробную информацию о последних входах в систему. Запрашивая файлы журналов системы, в частности /var/log/wtmp, она отображает исчерпывающий список пользовательских сеансов, включая имя пользователя, имя терминала, IP-адрес (если применимо), а также время и продолжительность каждого сеанса. Эта команда особенно ценна для системных администраторов для мониторинга активности пользователей, отслеживания попыток входа и выявления несанкционированного доступа. Кроме того, last можно настроить с помощью различных опций для фильтрации результатов, таких как отображение только входов конкретного пользователя или записи из определенного диапазона дат, что делает ее универсальным инструментом для управления системой и аудита безопасности.

Если вы новичок в системном администрировании, вам может понадобиться доступ к учетным данным или их мониторинг. Вы, вероятно, будете использовать несколько инструментов для этой цели, и одним из них является last. В этом учебнике мы объясним основные функции этой программы с помощью простых для понимания примеров.

Прежде чем перейти к объяснениям, следует упомянуть, что все примеры здесь были протестированы на системе Ubuntu 24.04, но они должны работать так же и на любой недавней дистрибутиве Linux.

Команда last в Linux

Команда last отображает список последних вошедших пользователей. Вот ее синтаксис:

last [options] [username...] [tty...]

Вот как страница man объясняет этот инструмент:

       last  searches  back through the /var/log/wtmp file (or the file desig?  
       nated by the -f option) and displays a list of all users logged in (and  
       out)  since  that  file was  created.  One or more usernames and/or ttys  
       can be given, in which case last will show only  the  entries  matching  
       those  arguments.  Names of ttys can be abbreviated, thus last 0 is the  
       same as last tty0.  
  
       When catching a SIGINT signal (generated by the interrupt key,  usually  
       control-C)  or a SIGQUIT signal, last will show how far it has searched  
       through the file; in the case of the SIGINT signal last will then  ter?  
       minate.  
  
       The  pseudo user reboot logs in each time the system is rebooted.  Thus  
       last reboot will show a log of all the reboots since the log  file  was  
       created.

Следующие примеры в формате вопросов и ответов должны дать вам лучшее представление о том, как работает last.

Вопрос 1. Как использовать команду last?

Основное использование очень простое. Все, что вам нужно сделать, это выполнить команду ‘last’ без каких-либо опций:

last

Вопрос 2. Как настроить вывод в случае не локальных входов?

По умолчанию, в случае не локальных плагинов, команда last отображает вывод следующим образом:

Примечание: На скриншоте мы намеренно размыли некоторые части, содержащие IP-адреса.

Теперь, если вы хотите, вы можете немного настроить этот вывод, переместив столбец, связанный с IP-адресом, вправо. Это можно сделать с помощью командной опции -a.

Вопрос 3. Как заставить last читать другой файл?

Как уже упоминалось в начале учебника, команда last читает файл /var/log/wtmp для подготовки своего вывода. Однако, если вы хотите, вы можете заставить инструмент читать совершенно другой файл. Это можно сделать с помощью командной опции -f. Конечно, вам нужно будет передать новое имя файла (вместе с его путем) в качестве входных данных для этой опции.

last -f [new-file-path-and-name]

Вопрос 4. Как заставить last выводить полную информацию о дате и времени?

Если вы хотите, чтобы last выводил полную информацию о дате и времени в выводе, используйте командную опцию -F.

last -F

Вопрос 5. Как заставить last показывать только определенное количество строк?

Если вы хотите настроить количество строк, которые команда last показывает в выводе, вы можете сделать это с помощью командной опции -n. Конечно, вам нужно будет передать число в качестве входных данных для этой опции.

Например:

last -n 3

Таким образом, вы можете увидеть, что вывод содержит только 3 строки.

Вопрос 6. Как заставить last подавлять поле имени хоста в выводе?

Третий столбец в выводе last содержит информацию о хосте. Однако, по какой-то причине, если вы хотите, чтобы инструмент подавлял эту информацию, используйте командную опцию -R.

last -R

Вопрос 7. Как заставить last отображать информацию за определенный период времени?

Предположим, вы хотите, чтобы last отображал вывод только на основе времени — скажем, только информацию с вчера и сегодня — тогда вы можете использовать командные опции -s и -t.

Например:

last -s yesterday -t today

Пожалуйста, обратите внимание, что опции, принимающие аргумент времени, понимают следующие форматы:  
       YYYYMMDDhhmmss  
       YYYY-MM-DD hh:mm:ss  
       YYYY-MM-DD hh:mm      (секунды будут установлены на 00)  
       YYYY-MM-DD            (время будет установлено на 00:00:00)  
       hh:mm:ss             (дата будет установлена на сегодня)  
       hh:mm                 (дата будет установлена на сегодня, секунды на 00)  
       now  
       yesterday             (время установлено на 00:00:00)  
       today                 (время установлено на 00:00:00)  
       tomorrow              (время установлено на 00:00:00)  
       +5min  
       -5days

Вопрос 8. Как заставить last отображать такие вещи, как изменения уровня выполнения?

Чтобы отображать информацию, такую как изменения уровня выполнения и записи о завершении работы системы, используйте командную опцию -x.

last -x

Заключение

Согласен, last не одна из тех команд, которые вы будете использовать ежедневно, но, вероятно, будут дни, когда этот инструмент будет очень полезен. Мы рассмотрели несколько основных опций здесь в этом учебнике — этого должно быть достаточно, чтобы начать. Для получения дополнительной информации перейдите на страницу man утилиты.