身份鉴别

2024-01-25 16:34| 来源: 网络整理| 查看: 265

对于一台服务器而言，有两种登录方式：本地登录和远程登录，登录失败处理功能的配置也从这两个方面来配置。由于RedHat系（例如Red Hat Enterprise Linux和CentOS）和Debian系（例如Ubuntu）在配置上稍有不同，所以分开来说。

RHEL（Red Hat Enterprise Linux）配置

红帽的登录失败处理功能主要由/etc/pam.d/system-auth和/etc/pam.d/password-auth来实现。其中，/etc/pam.d/system-auth控制本地登录失败处理，/etc/pam.d/password-auh控制远程登录失败处理。首先配置/etc/pam.d/system-auth，在第一个auth行插入一行如下：

auth required pam_tally2.so deny=3 lock_time=20 unlock_time=60 even_deny_root root_unlock_time=60

完成后如下：

[root@Oracle ~]# cat /etc/pam.d/system-auth #%PAM-1.0 # This file is auto-generated. # User changes will be destroyed the next time authconfig is run. auth required pam_tally2.so deny=3 lock_time=20 unlock_time=60 even_deny_root root_unlock_time=60 auth required pam_env.so auth required pam_faildelay.so delay=2000000 auth sufficient pam_unix.so nullok try_first_pass auth requisite pam_succeed_if.so uid >= 1000 quiet_success auth required pam_deny.so account required pam_unix.so account sufficient pam_localuser.so account sufficient pam_succeed_if.so uid < 1000 quiet account required pam_permit.so password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok password required pam_deny.so session optional pam_keyinit.so revoke session required pam_limits.so -session optional pam_systemd.so session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid session required pam_unix.so

参数解释： deny：触发登录失败锁定功能的次数； lock_time：锁定时间，单位为秒； unlock_time：触发登录失败处理功能后锁定的时长，单位为秒； even_deny_root：启用对root账户的登录失败处理； root_unlock_time：root账户触发登录失败锁定后锁定的时长，单位为秒。

测试本地登录：

在这里插入图片描述

可以看到，在输入错误一次密码后，系统返回了账户被临时封锁，剩余时间8秒，然后我输入了正确的密码，登录还是失败了。root账户在登录失败3次后也被锁定了。

远程登录：

在这里插入图片描述但是当我们使用SSH远程登录的时候，却没有收到登录失败的锁定提示，说明上面的配置对于远程登录是无效的。我们将相同的配置再添加到/etc/pam.d/password-auth中：

[root@Oracle ~]# cat /etc/pam.d/password-auth #%PAM-1.0 # This file is auto-generated. # User changes will be destroyed the next time authconfig is run. auth required pam_tally2.so deny=3 lock_time=20 unlock_time=60 even_deny_root root_unlock_time=60 auth required pam_env.so auth required pam_faildelay.so delay=2000000 auth sufficient pam_unix.so nullok try_first_pass auth requisite pam_succeed_if.so uid >= 1000 quiet_success auth required pam_deny.so account required pam_unix.so account sufficient pam_localuser.so account sufficient pam_succeed_if.so uid < 1000 quiet account required pam_permit.so password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok password required pam_deny.so session optional pam_keyinit.so revoke session required pam_limits.so -session optional pam_systemd.so session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid session required pam_unix.so

此时我们再使用SSH进行远程登录测试：在这里插入图片描述我们使用pam_tally2命令查看一下shenji账户的锁定状态，发现shenji账户已经被锁定了：

[root@Oracle ~]# pam_tally2 --user shenji Login Failures Latest failure From shenji 8 03/02/22 08:39:09 192.168.0.102 [root@Oracle ~]#date Wed Mar 2 08:39:13 EST 2022

只要登录成功一次后，登录失败的计数将清零。

Ubuntu 配置

Ubuntu的登录失败处理功能主要由/etc/pam.d/login和/etc/pam.d/common-auth来实现。其中，/etc/pam.d/login控制本地登录失败处理，/etc/pam.d/common-auth控制远程登录失败处理。首先配置/etc/pam.d/login，在第一个auth行插入一行如下：

auth required pam_tally2.so deny=3 lock_time=20 unlock_time=60 even_deny_root root_unlock_time=60 root@Server01:~# cat /etc/pam.d/login | grep -v "#" auth required pam_tally2.so deny=3 lock_time=20 unlock_time=60 even_deny_root root_unlock_time=60 auth optional pam_faildelay.so delay=3000000 auth [success=ok new_authtok_reqd=ok ignore=ignore user_unknown=bad default=die] pam_securetty.so auth requisite pam_nologin.so session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so close session required pam_env.so readenv=1 session required pam_env.so readenv=1 envfile=/etc/default/locale @include common-auth auth optional pam_group.so session required pam_limits.so session optional pam_lastlog.so session optional pam_motd.so motd=/run/motd.dynamic session optional pam_motd.so noupdate session optional pam_mail.so standard session required pam_loginuid.so @include common-account @include common-session @include common-password session [success=ok ignore=ignore module_unknown=ignore default=bad] pam_selinux.so open root@Server01:~# 测试本地登录

在这里插入图片描述通过shell查询，发现shenji账户已被锁定。

root@Server01:~# pam_tally2 -u shenji Login Failures Latest failure From shenji 4 03/02/22 22:01:12 远程登录

在这里插入图片描述

root@Server01:~# pam_tally2 -u shenji Login Failures Latest failure From shenji 4 03/02/22 22:01:12

通过shell查询，通过远程登录产生的登录失败未被记入到计数。现在我们将相同的配置添加到/etc/pam.d/common-auth：

root@Server01:~# cat /etc/pam.d/common-auth | grep -v "#" auth required pam_tally2.so deny=3 lock_time=20 unlock_time=60 even_deny_root root_unlock_time=60 auth [success=1 default=ignore] pam_unix.so nullok_secure auth requisite pam_deny.so auth required pam_permit.so root@Server01:~#

在这里插入图片描述

root@Server01:~# pam_tally2 -u shenji Login Failures Latest failure From shenji 1 03/02/22 22:26:12 192.168.141.1 root@Server01:~# pam_tally2 -u shenji Login Failures Latest failure From shenji 1 03/02/22 22:26:12 192.168.141.1 root@Server01:~# pam_tally2 -u shenji Login Failures Latest failure From shenji 2 03/02/22 22:26:38 192.168.141.1

在测试的时候，发现当设置了lock_time的时候，如果在lock_time指定的时间内连续输入多次密码，那么也只会被记为一次，只有两次登录失败的时间大于lock_time指定的时间时才会被记录为两次；如果不指定lock_time，那么连短时间内多次输入错误密码，错误几次就会被记录为几次。无论是本地登录还是远程登录都是一样的结果。

【本文地址】

公司简介

联系我们