wtmp 日志太短，如何设置？

职业欠钱

RT
wtmp位于/var/log 下，是二进制日志，保存了登录系统的信息，使用last工具可以访问

对于应急响应来说，保存足够的登录日志是非常有帮助的。

在最近的日志检查中，我意外的发现wtmp里保存的仅仅是最近几天的日志（4月1日开始的），之前的日志都不见了

查了一些资料，都是在说如何清理过大的wtmp日志的，据说不同的Linux发行版本对wtmp日志的处理方法不一样，有些1天、1周做一次轮循，有些则放任不管，wtmp会越来越大，直至需要用计划任务来清理。

wtmp的保存应该如何设置？


我的测试机 ：
Red Hat Enterprise Linux AS release 4

[ 本帖最后由 职业欠钱 于 2008-4-8 10:14 编辑 ]

gig2600

last /var/log/wtmp.1

寂寞烈火

/etc/logrotate.conf

职业欠钱

原帖由 寂寞烈火 于 2008-4-7 17:40 发表
/etc/logrotate.conf

谢谢 寂寞烈火 的指点！你的回帖让我知道了问题的原因。
我去查看了这个文件，有如下内容：

# no packages own lastlog or wtmp --we'll rotate them here
/var/log/wtmp {
monthly
create 0664 root utmp
rotate 1
}

确认我之前的判断是错误的，实际上服务器保存了一个月的日志，但是到4月1日的时候，就删掉了从头开始
我误以为是只能保存一周

现在我需要思考的是，假设4月1日检查服务器，而3月份出现过安全事件，是否就看不到登录日志了？

to gig2600 ，也谢谢你的回帖，我试了一下你说的命令：

[root@localhost ~]# last /var/log/wtmp.1

wtmp begins Tue Apr  1 19:43:05 2008
[root@localhost ~]# last /var/log/wtmp

wtmp begins Tue Apr  1 19:43:05 2008
[root@localhost ~]# last
root     pts/0        192.168.0.114   Mon Apr  7 21:34   still logged in   
root     tty2                          Mon Apr  7 16:39   still logged in   
root     tty2                          Mon Apr  7 16:39 - 16:39  (00:00)   
root     tty2                          Mon Apr  7 16:39 - 16:39  (00:00)   
root     tty1                          Mon Apr  7 10:54   still logged in   
reboot   system boot  2.6.9-55.0.2.ELs Sun Apr  6 21:26         (1+00:0   
root     pts/0        192.168.0.86    Wed Apr  2 15:43 - 21:05  (05:21)   
root     pts/1        192.168.0.86    Tue Apr  1 19:43 - 16:30  (20:47)   

wtmp begins Tue Apr  1 19:43:05 2008

看起来好像 wtmp.1 wtmp 单独无法被读取？