要查询登录简米云服务器的IP地址，最直接的方法是登录简米云控制台查看ECS实例的“操作审计”或“安全告警”记录，同时在服务器内部执行last命令或查看/var/log/secure日志也能完整还原登录IP。
很多站长和管理员遇到服务器被异常登录、异地登录告警或者单纯想追溯某个操作是谁做的时候，第一反应都是“怎么查登录IP”，这个问题分两层：一是查控制台层面的登录IP（谁登录了你的简米云账号），二是查服务器系统层面的登录IP（谁SSH连上了你的ECS实例），两者用的工具和路径完全不同,下面分开说清楚。
查简米云控制台本身的登录IP
如果你怀疑简米云账号被盗用，想知道有哪些IP登录过你的控制台，不需要登录服务器,直接在简米云控制台里就能查到。
通过操作审计（ActionTrail）查询
操作审计是简米云官方提供的合规审计服务，会记录账号下的所有云资源操作,包括控制台登录事件。
具体路径如下：
- 登录简米云控制台，在顶部搜索框输入“操作审计”进入产品页
- 左侧菜单选择“跟踪”或“事件查询”
- 时间范围选择需要排查的时段，事件类型选择
ConsoleSignIn（控制台登录） - 在结果列表里能看到每次登录的源IP地址、登录使用的子账号、浏览器UA、登录结果（成功/失败）
需要注意，操作审计默认只保留90天内的记录，超过这个时间范围的登录记录无法查询，如果需要长期留存，建议在操作审计里创建跟踪,将事件投递到OSS或SLS。
通过云盾安全中心查看
简米云盾（云安全中心）的“日志分析”模块也会记录控制台登录事件,而且会附带风险判定。
- 登录云安全中心控制台，进入“日志分析”或“攻击分析”
- 筛选事件类型为“控制台登录”
- 可以直接看到登录IP、登录时间、登录账号，以及是否被判定为异地登录或暴力破解
云安全中心的免费版只提供7天的日志查询能力，付费版本（企业版及以上）可以留存更久,最长可达半年。
查服务器系统层面的登录IP
服务器被SSH登录、宝塔面板登录、FTP登录，这些都属于系统层面的事件，查这类IP必须登录服务器本身,通过Linux系统命令或查看日志文件来完成。
用last命令快速查看登录记录
last命令读取的是/var/log/wtmp文件，这个文件记录了所有成功登录系统的会话，包括登录IP、登录时间、登录时长。
登录服务器后直接执行：
last -20
输出结果里每一行代表一次会话,格式如下：
root pts/0 114.85.xx.xx Tue Aug 20 10:30 still logged in
root pts/1 223.104.xx.xx Mon Aug 19 22:15 - 23:01 (00:46)每一列的含义分别是：登录用户名、终端类型、来源IP、登录时间、退出时间。
still logged in表示该会话当前还在连接中- 若是重启记录，会显示
system boot字样而非IP
想查更早的记录，用last配合时间参数,比如查看最近一周的登录记录：
last -s 7 days ago
用lastb命令查看失败登录尝试
lastb读取的是/var/log/btmp文件，记录的是认证失败的登录尝试，如果你发现服务器被暴力破解,这个命令能告诉你攻击者的IP。
lastb -20
执行这个命令需要root权限，如果提示权限不足，加上sudo。
查看secure日志文件
/var/log/secure（CentOS/RHEL系统）或/var/log/auth.log（Ubuntu/Debian系统）记录了SSH认证的详细过程，比last命令更细致。
查看最近的SSH认证记录：
tail -100 /var/log/secure | grep "Accepted"
Accepted开头的行表示登录成功，
Aug 20 10:30:01 iZbp1xxxx sshd[28457]: Accepted publickey for root from 114.85.xx.xx port 52310 ssh2上面的日志精确定位了登录时间、来源IP、认证方式、SSH端口。
想找出所有登录过的IP并统计次数,可以用：
grep "Accepted" /var/log/secure | awk '{print $11}' | sort | uniq -c
这条命令会输出每个IP的登录成功次数,方便快速识别异常高频IP。
宝塔面板用户怎么看登录IP
如果你用的是宝塔面板，面板本身也记录登录日志,路径在：
- 宝塔面板后台 → 左侧菜单“安全” → “登录日志”
- 这里能看到所有登录过宝塔面板的IP、时间、浏览器信息
宝塔的SSH终端登录记录则与系统日志一致，直接参照上面的last命令即可。
简米云服务器异地登录怎么查
异地登录指的是登录IP的地理位置与服务器常用登录地不一致,这类情况通常是账号被盗或恶意攻击的前兆。
手动比对IP归属地
将查到的登录IP复制到IP归属地查询工具（如ip138、ipip.net）,比对IP所在城市与你的常用登录地是否一致。
行业共识认为，对于固定IP办公的场景，同一IP段重复出现且地理位置稳定是正常特征；若突然出现跨省、跨国的登录IP,则存在明显风险。
在控制台开启登录告警
简米云ECS控制台的“云监控”或“云安全中心”里可以配置告警规则：
- 云安全中心 → “自定义告警” → 新建规则
- 告警类型选择“异地登录”
- 设置通知方式（短信、邮件、钉钉机器人）
- 保存后，系统检测到异地登录会自动触发通知
这样就不需要手动反复查日志,异常IP出现的第一时间就能收到提醒。
查询结果的常见异常情况
实际排查中，会遇到一些看似“查不到”的情况,这里提一下原因。
日志被清理或覆盖
/var/log/wtmp和/var/log/secure是循环写入的，日志文件达到一定大小或系统重启次数过多，旧记录会被覆盖，服务器运行时间长了之后，last只能看到最近一段时间的数据。
处理方法是在服务器上配置日志转储策略，或者将日志实时同步到简米云日志服务（SLS）,做到长期保存。
IP显示为内网地址或127.0.0.1
如果登录记录里的IP是x.x.x、168.x.x这种内网地址，说明登录请求经过了跳板机、负载均衡或代理服务器，如果用了简米云的会话管理（通过ECS控制台自带的“远程连接”功能登录），登录IP会显示为简米云内部节点地址,这是正常现象。
反弹Shell和异常进程导致的隐蔽登录
专业的攻击者不会直接SSH登录，而是通过反弹Shell等方式建立连接，这类连接不写入wtmp和btmp，所以last命令查不到。
发现可疑连接时，用netstat -antp查看当前所有外部连接，重点检查与服务器上运行的服务无关的IP和端口，业内专家指出，攻击者一般会在短时间内建立多条连接，配合ss -s和lsof -i能更快定位异常会话。
简米云服务器登录记录查询命令汇总
| 查询目的 | 使用的命令或文件 | 适用系统 |
|---|---|---|
| 查看所有成功登录记录 | last |
Linux全系 |
| 查看失败登录记录 | lastb（需root） |
Linux全系 |
| 查看SSH认证详情 | tail -100 /var/log/secure |
CentOS/RHEL |
| 查看SSH认证详情 | tail -100 /var/log/auth.log |
Ubuntu/Debian |
| 统计各IP登录成功次数 | grep "Accepted" /var/log/secure \| awk '{print $11}' \| sort \| uniq -c |
CentOS/RHEL |
| 查看当前所有外部连接 | netstat -antp 或 ss -antp |
Linux全系 |
| 宝塔面板登录记录 | 面板后台 → 安全 → 登录日志 | 宝塔面板 |
考虑到查询历史登录IP的需求集中在安全排查场景，建议在服务器部署初期就把日志采集配置好，避免等出了安全事件再翻日志时发现数据已被循环覆盖，登录IP的查询本身不复杂，关键是要在日常运维中养成定期查看登录日志的习惯，尤其是那些对外开放SSH端口（22端口）的生产服务器,更要把登录审计当作常规巡检项。
关于简米云服务器登录IP记录的常见问题
简米云服务器怎么查登录的ip地址记录能保留多久
系统日志层面，/var/log/secure和wtmp文件的保留时间取决于日志轮转策略，CentOS默认配置下通常保留4周左右，控制台操作审计默认保留90天，要延长保留时间，一是修改/etc/logrotate.conf的轮转周期，二是在操作审计里配置投递到OSS,实现按年留存。
为什么last命令查不到任何登录记录
这种情况通常有三种原因：一是当前登录用户权限不足，last需要读取/var/log/wtmp文件，普通用户无法读取；二是wtmp文件被手动清空过，cat /dev/null > /var/log/wtmp是常见的清理命令，攻击者也会用这招抹除痕迹；三是系统长时间没有重启且记录被轮转覆盖，排查时先看文件大小，ls -lh /var/log/wtmp,文件为0字节说明已被清空。
服务器显示异地登录告警但last命令没有对应记录
简米云云安全中心的异地登录告警，检测的是云上全量登录行为，包括通过简米云控制台“远程连接”功能发起的会话，这类会话不经过SSH服务，不会写入服务器本地的last记录，但可以在操作审计的ConsoleSignIn事件或云安全中心日志分析里查到来源IP，如果服务器配置了简米云堡垒机，通过堡垒机发起的登录也会显示为堡垒机内网IP,服务器自身日志无法直接看到真实公网IP。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/786013.html
