No se pueden explicar las entradas de "bloqueo" en la salida del comando 'último'

La última muestra "crash" a las 12:02 y 14:18, pero el sistema no dejó de funcionar en ese momento. El reinicio a las 15:03, por otro lado, fue recuperarse de un bloqueo real: nuestro sistema dejó de responder a las 14:46. ¿Por qué el último muestra dos "bloqueos" antes del bloqueo real de la máquina?

[admin@devbox log]$ last | head
myuser pts/2        myhostname  Wed Sep 28 15:12   still logged in
myuser pts/2        myhostname  Wed Sep 28 15:09 - 15:12  (00:02)
myuser pts/2        myhostname  Wed Sep 28 15:07 - 15:09  (00:01)
myuser pts/1        myhostname  Wed Sep 28 15:06   still logged in
myuser pts/0        myhostname  Wed Sep 28 15:04   still logged in
reboot   system boot  2.6.18-274.el5PA Wed Sep 28 15:03          (00:09)
myuser pts/1        myhostname  Wed Sep 28 14:18 - crash  (00:44)
myuser pts/0        myhostname  Wed Sep 28 12:02 - crash  (03:01)

EDITAR: El reinicio a las 15:03 es bastante real, pero las dos entradas de "bloqueo" a las 14:18 y 12:02 no puedo explicar.

rhel last

— Kyle Hodgson
fuente

40 minutos ... pero eso es desde el reinicio.

— Kyle Hodgson

Oh, lo siento. No entendí tu pregunta. Cuando dijo "pero el sistema no se reinició", pensé que estaba diciendo que no se realizó ningún reinicio.

— Mat

lastse imprime crashcomo tiempo de cierre de sesión cuando no hay entrada de cierre de sesión en la wtmpbase de datos para una sesión de usuario.

La última entrada en la lastsalida significa que myuserinició sesión pts/0a las 12:02 y, cuando el sistema se bloqueó entre las 14:18 y las 15:03, todavía debería estar conectado.

Por lo general, wtmphay dos entradas para cada sesión de usuario. Uno para el tiempo de inicio de sesión y otro para el tiempo de cierre de sesión. Cuando un sistema falla, la segunda entrada podría faltar. Entonces, se lastsupone que el usuario todavía estaba conectado cuando el sistema se bloqueó e imprime crashcomo hora de cierre de sesión.

Para ser más claros, esas dos líneas de "bloqueo" son solo las dos sesiones que estaban activas cuando el sistema se bloqueó alrededor de las 15:00, no dos bloqueos del sistema .

— andcoz
fuente

¿No me siento oxidado ahora ... seguro que sabía esto en algún momento! Gracias ...

— Kyle Hodgson

¿ lastSiempre imprime un registro de reinicio después de un bloqueo? ¿Y es posible que la sesión del usuario se bloquee pero todo el sistema operativo?

— CMCDragonkai

1) Sí lo es. wtmpregistrará cada arranque del sistema, pero el mensaje que se muestra (por last) depende de la implementación. 2) No, la sesión del usuario no puede bloquearse . Un programa que administra una sesión de usuario puede finalizar de manera anormal pero, en este caso, wtmpsimplemente registrará un cierre de sesión .

— andcoz