如何禁用SSHD的journalctl日志？修改sshd_config重启服务不生效怎么办

提示：禁用SSHD日志会丢失登录、操作等审计记录，不利于安全事件排查，仅在特殊必要场景下操作。

1. 修正SSHD自身日志配置 #

首先确认你之前对sshd_config的修改符合要求：

• 编辑SSHD主配置文件：vi /etc/ssh/sshd_config
• 找到LogLevel配置项，修改为以下内容，如果没有该配置项直接新增即可：

LogLevel QUIET

• 执行sshd -t验证配置合法性，无报错再执行systemctl restart sshd.service重启SSHD服务。

2. 屏蔽系统日志服务对SSHD的日志采集 #

多数Linux发行版的SSHD日志会同时被系统日志服务（rsyslog或systemd-journald）采集，仅修改SSHD配置无法完全关闭日志，需对应调整：

针对使用rsyslog的发行版（CentOS 7、Debian 10及更早版本等） #

• 编辑rsyslog规则配置：vi /etc/rsyslog.d/50-default.conf（部分发行版路径为/etc/rsyslog.conf）
• 在配置文件最上方新增规则，屏蔽sshd程序的所有日志：

:programname, isequal, "sshd" stop

• 保存退出后执行systemctl restart rsyslog.service重启rsyslog服务。

针对仅使用systemd-journald的发行版（Ubuntu 22.04+、Arch Linux等） #

• 执行systemctl edit sshd.service打开SSHD服务单元的覆写配置界面
• 填入以下配置：

[Service]
LogLevelMax=0

• 保存退出后依次执行以下命令生效：

systemctl daemon-reload
systemctl restart sshd.service

3. 验证配置生效 #

执行journalctl -u sshd.service -f实时监听SSHD日志，新开终端尝试SSH登录服务器，确认无新的SSHD日志输出即配置成功。 #

内容的提问来源于stack exchange，提问作者Jeison Díaz