Centos7登录失败的用户锁定策略配置

在实际工作中为了防止攻击者暴力破解SSH登陆密码，有必要配置登录失败用户锁定策略。

---

操作系统：Centos7
主机1：192.168.74.205
主机2：192.168.74.129

一、配置PAM

编辑“主机2”的 /etc/pam.d/sshd配置文件。
并添加一行：

#%PAM-1.0
# 添加下边一行策略------------------------------
auth required pam_tally2.so onerr=fail deny=3 unlock_time=300 even_deny_root root_unlock_time=300
# --------------------------------------------
auth       required     pam_sepermit.so
auth       substack     password-auth
auth       include      postlogin
# Used with polkit to reauthorize users in remote sessions
-auth      optional     pam_reauthorize.so prepare
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session    required     pam_selinux.so open env_params
session    required     pam_namespace.so
session    optional     pam_keyinit.so force revoke
session    include      password-auth
session    include      postlogin
# Used with polkit to reauthorize users in remote sessions
-session   optional     pam_reauthorize.so prepare

• onerr=fail 表示定义了当出现错误时的缺省返回值；

• even_deny_root 表示也限制root用户；

• deny 表示设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户；

• unlock_time 表示设定普通用户锁定后，多少时间后解锁，单位是秒；

• root_unlock_time 表示设定root用户锁定后，多少时间后解锁，单位是秒；

二、验证配置

然后进行测试。在“主机1”上用ssh连接“主机2”的账号user。
正常情况：

密码试探：

然后输入正确密码：

依然拒绝连接。

三、解锁用户

然后在“主机2”上使用如下命令解锁用户就可以正常登录了。

pam_tally2 -r -u 用户名

四、使用命令锁定并解锁用户

# 锁定用户
passwd -l $user

# 查看用户状态
passwd -S $user

# 解锁用户
passwd -u $user

五、其他加固建议

可以参考Linux服务器安全加固10条建议