搬瓦工 Audit log 使用教程：查看后台操作日志和登录 IP

搬瓦工日志包含多种信息，本文介绍的是后台 KiwiVM 面板中的 Audit log。它用于保存后台登录和服务器管理事件，并记录对应的时间、IP 地址和操作内容。需要查询搬瓦工操作日志、搬瓦工登录记录或登录 IP 时，可以从这里入手。

本文以 Audit log 中已有的记录为例，介绍日志入口、Time、IP address、Action 三项内容的含义，以及登录、机房迁移、系统重装、关机、ISO 挂载等常见记录。

一、搬瓦工 Audit log 是什么？

搬瓦工 Audit log 是后台 KiwiVM 面板提供的审计日志功能，也可以称为搬瓦工审计日志。它保存的是通过 KiwiVM 面板产生的登录和服务器管理事件，用来查询某台 VPS 曾经发生过哪些后台操作。

需要说明的是，搬瓦工后台的 Audit log 记录的是搬瓦工的登录和管理操作，不是 VPS 系统内部的运行日志。

搬瓦工账户中心还有一个 Account Audit Log，记录的是账户层面的设备认证等信息，和本文介绍的 KiwiVM Audit log 不是同一个功能。如果需要查看账号设备认证历史，可以参考：搬瓦工账户审计日志 (Account Audit Log) 教程：查看设备认证历史。

二、搬瓦工 Audit log 操作日志查看方法

登录搬瓦工后台并进入对应 VPS 的 KiwiVM 管理面板，在左侧“Security & Records”下面点击“Audit log”，即可进入 KiwiVM 操作日志页面。

搬瓦工 KiwiVM Audit log 操作日志

Audit log 页面主要包含 Time、IP address 和 Action 三列。页面顶部还会显示浏览器检测到的时区，查看日志时可以先确认时间对应的时区。

1. Time 操作时间

Time 表示这条日志生成的时间。时间后面还会显示时区偏移，例如“+0800”。如果页面顶部显示“Detected browser time zone: Asia/Shanghai”，日志中的时间就会按照当前检测到的时区显示。

2. IP address 操作 IP 地址

IP address 表示与这条记录关联的 IP 地址。查看搬瓦工登录 IP 时，可以结合后台登录成功记录核对时间和公网 IP。

部分系统记录的 IP address 会显示为 127.0.0.1，这是本机回环地址，不是访问 KiwiVM 时使用的公网 IP。

3. Action 操作内容

Action 用来说明日志记录的事件内容。KiwiVM 会以英文显示事件名称，后面常见的登录、迁移机房、重装系统、关机和邮件提醒等信息都需要从这一列查看。

三、搬瓦工 Audit log 常见操作记录说明

搬瓦工后台 Audit log 中的 Action 类型比较多，但常见记录可以按照登录、机房迁移、系统管理和系统提醒几类来理解。下面分别说明这些英文记录的含义。

1. 后台登录和一次性登录令牌

进入搬瓦工后台 KiwiVM 面板时，日志中经常会连续出现登录令牌和登录成功记录。

• Control panel: successful login：表示 KiwiVM 后台登录成功，IP address 一栏会记录本次登录对应的公网 IP。
• Billing platform requested a single-use login token：表示账单平台请求了一次性登录令牌，这条记录的 IP address 会显示为 127.0.0.1。

一次性登录令牌记录经常出现在“Control panel: successful login”之前。检查搬瓦工登录记录时，应以登录成功记录中的时间和公网 IP 为主要参考。

2. VPS 机房迁移和邮件提醒

通过机房迁移功能更换 VPS 所在机房后，Audit log 会保存来源机房、目标机房以及迁移完成后的邮件提醒记录。

• Migration from USCA_9 to USCA_6：表示 VPS 从 USCA_9 迁移到 USCA_6。
• E-mail alert sent … VM Migration Complete：表示机房迁移完成后，系统已经发送迁移完成邮件。

如果 VPS 曾经多次迁移机房，可以按照日志时间查看每次迁移的来源和目标机房，了解服务器此前的机房变化。

3. 系统重装、关机和 ISO 挂载

重装系统、关闭 VPS 和挂载 ISO 等服务器管理操作，也会在 Audit log 中留下对应记录。

• VM Stop：停止 VPS。
• VM Force immediate shutdown：强制立即关闭 VPS。
• OS Reinstall: debian-12-x86_64：执行 Debian 12 等操作系统重装。
• E-mail alert sent … OS Reinstall Complete：系统重装完成后已经发送邮件提醒。
• ISO mounted: xxx.iso：给 VPS 挂载指定的 ISO 镜像。

这些记录适合用来核对 VPS 在某个时间是否进行过关机、系统重装或 ISO 挂载。遇到服务器系统发生变化时，也可以先根据日志时间回查相关事件。

4. VPS 创建和流量提醒

除了用户在后台进行的管理操作，搬瓦工系统产生的一些事件和邮件提醒同样会进入 Audit log。

• Instance created：表示 VPS 实例已经创建。
• E-mail alert sent … VM Created: IP Allocation：表示 VPS 创建并分配 IP 后发送了邮件提醒。
• E-mail alert sent … Bandwidth Usage Alert：表示系统发送了流量使用提醒邮件。

通过这些记录，可以查询 VPS 创建时间，以及系统什么时候发送过 IP 分配、流量使用等相关邮件。

四、如何使用 Audit log 检查异常操作？

如果发现搬瓦工后台出现陌生登录，或者 VPS 有自己没有进行过的关机、重装系统、机房迁移等情况，可以按照 Audit log 中的 Time、IP address 和 Action 逐条核对。

检查后台登录时，先找到“Control panel: successful login”，核对对应的公网 IP 和登录时间。日志中的 127.0.0.1 属于回环地址。

如果日志中出现自己没有进行过的“OS Reinstall”“VM Force immediate shutdown”“ISO mounted”或机房迁移记录，应继续检查搬瓦工账号密码、2FA、Passkey、Security Key 和当前登录会话等安全设置，并确认账号是否存在异常登录。