С выхода last на RHEL5
user3    pts/6        :pts/1:S.0       Sat Feb 26 04:04 - 05:40  (01:35)
user2    pts/7        :0.0             Fri Feb 25 21:32 - 04:53  (07:21)
user1    pts/6        some.domain.com  Fri Feb 25 20:38 - 23:19  (02:41)
Насколько я понимаю, 3-й столбец рассказывает, откуда был создан сеанс tty. Вероятно, что user1 вошел в систему удаленно с some.domain.com через SSH, а user2 открыл окно терминала в X локально.
Но как насчет user3? Похоже, он создал pts/6 из pts/1 . Как это обычно происходит? А что значит :S.0?
