centos pam userdb，centos 8
这篇文章给大家聊聊关于centos pam userdb，以及centos 8对应的知识点，希望对各位有所帮助，不要忘了收藏本站哦。
CentOS使用PAM锁定多次登陆失败的用户的教程
Linux有一个pam_tally2.so的PAM模块，来限定用户的登录失败次数，如果次数达到设置的阈值，则锁定用户。
编译PAM的配置文件
# vim/etc/pam.d/login
#%PAM-1.0 auth required pam_tally2.so deny=3lock_time=300 even_deny_root root_unlock_time=10auth [user_unknown=ignoresuccess=okignoreignore=ignore default=bad] pam_securetty.so auth include system-auth account required pam_nologin.so account include system-auth password include system-auth# pam_selinux.so close should be the first session rule session required pam_selinux.so close session optional pam_keyinit.so force revoke session required pam_loginuid.so session include system-auth session optional pam_console.so# pam_selinux.so open should only be followed by sessions to be executed in the user context session required pam_selinux.so open
各参数解释
even_deny_root也限制root用户； deny设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户 unlock_time设定普通用户锁定后，多少时间后解锁，单位是秒； root_unlock_time设定root用户锁定后，多少时间后解锁，单位是秒；此处使用的是 pam_tally2模块，如果不支持 pam_tally2可以使用 pam_tally模块。另外，不同的pam版本，设置可能有所不同，具体使用方法，可以参照相关模块的使用规则。
在#%PAM-1.0的下面，即第二行，添加内容，一定要写在前面，如果写在后面，虽然用户被锁定，但是只要用户输入正确的密码，还是可以登录的！
最终效果如下图
这个只是限制了用户从tty登录，而没有限制远程登录，如果想限制远程登录，需要改SSHD文件
# vim/etc/pam.d/sshd
#%PAM-1.0 auth required pam_tally2.so deny=3unlock_time=300 even_deny_root root_unlock_time=10auth include system-auth account required pam_nologin.so account include system-auth password include system-auth session optional pam_keyinit.so force revoke session include system-auth session required pam_loginuid.so
同样是增加在第2行！
查看用户登录失败的次数
[root@node100 pam.d]# pam_tally2--user redhat Login Failures Latest failure From redhat 7 07/16/12 15:18:22 tty1
解锁指定用户
[root@node100 pam.d]# pam_tally2-r-u redhat Login Failures Latest failure From redhat 7 07/16/12 15:18:22 tty1
这个远程ssh的时候，没有提示，我用的是Xshell，不知道其它终端有没提示，只要超过设定的值，输入正确的密码也是登陆不了的！
CentOS64下安装vsftpd并配置虚拟用户
一：安装vsftpd
查看是否已经安装vsftpd
复制代码代码如下:
rpm-qa| grep vsftpd
如果没有，就安装，并设置开机启动
复制代码代码如下:
yum-y install vsftpd
chkconfig vsftpd on
二：基于虚拟用户的配置
所谓虚拟用户就是没有使用真实的帐户，只是通过映射到真实帐户和设置权限的目的。虚拟用户不能登录CentOS系统。
修改配置文件
打开/etc/vsftpd/vsftpd.conf，做如下配置
复制代码代码如下:
anonymous_enable=NO//设定不允许匿名访问
local_enable=YES//设定本地用户可以访问。注：如使用虚拟宿主用户，在该项目设定为NO的情况下所有虚拟用户将无法访问
chroot_list_enable=YES//使用户不能离开主目录
ascii_upload_enable=YES
ascii_download_enable=YES//设定支持ASCII模式的上传和下载功能
pam_service_name=vsftpd//PAM认证文件名。PAM将根据/etc/pam.d/vsftpd进行认证
以下这些是关于vsftpd虚拟用户支持的重要配置项，默认vsftpd.conf中不包含这些设定项目，需要自己手动添加
复制代码代码如下:
guest_enable=YES//设定启用虚拟用户功能
guest_username=ftp//指定虚拟用户的宿主用户，CentOS中已经有内置的ftp用户了
user_config_dir=/etc/vsftpd/vuser_conf//设定虚拟用户个人vsftp的CentOS FTP服务文件存放路径。存放虚拟用户个性的CentOS FTP服务文件(配置文件名=虚拟用户名
进行认证
首先，安装Berkeley DB工具，很多人找不到db_load的问题就是没有安装这个包。
复制代码代码如下:
yum install db4 db4-utils
然后，创建用户密码文本/etc/vsftpd/vuser_passwd.txt，注意奇行是用户名，偶行是密码
复制代码代码如下:
test
123456
接着，生成虚拟用户认证的db文件
复制代码代码如下:
db_load-T-t hash-f/etc/vsftpd/vuser_passwd.txt/etc/vsftpd/vuser_passwd.db
随后，编辑认证文件/etc/pam.d/vsftpd，全部注释掉原来语句，再增加以下两句：
复制代码代码如下:
auth required pam_userdb.so db=/etc/vsftpd/vuser_passwd
account required pam_userdb.so db=/etc/vsftpd/vuser_passwd
最后，创建虚拟用户配置文件
复制代码代码如下:
mkdir/etc/vsftpd/vuser_conf/
vi/etc/vsftpd/vuser_conf/test//文件名等于vuser_passwd.txt里面的账户名，否则下面设置无效
内容如下
复制代码代码如下:
local_root=/ftp/www//虚拟用户根目录,根据实际情况修改
write_enable=YES//可写
anon_umask=022//掩码
anon_world_readable_only=NO
anon_upload_enable=YES
anon_mkdir_write_enable=YES
anon_other_write_enable=YES
设置Selinux
复制代码代码如下:
setsebool-P ftp_home_dir=1//设置ftp可以使用home目录
sersebool-P allow_ftpd_full_access=1//设置ftp用户可以有所有权限
设置FTP根目录权限
复制代码代码如下:
mkdir/ftp/www//创建目录
chmod R 755/ftp
chmod R 777/ftp/www
最新的vsftpd要求对主目录不能有写的权限所以ftp为755，主目录下面的子目录再设置777权限
设置防火墙
打开/etc/sysconfig/iptables
在“-A INPUT–m state--state NEW–m tcp–p–dport 22–j ACCEPT”，下添加：
复制代码代码如下:
-A INPUT m state--state NEW m tcp p dport 21 j ACCEPT
然后保存，并关闭该文件，在终端内运行下面的命令，刷新防火墙配置：
复制代码代码如下:
service iptables restart
OK，运行“service vsftpd start”，你就可以访问你的FTP服务器了。
配置PASV模式
vsftpd默认没有开启PASV模式，现在FTP只能通过PORT模式连接，要开启PASV默认需要通过下面的配置
打开/etc/vsftpd/vsftpd.conf，在末尾添加
复制代码代码如下:
pasv_enable=YES//开启PASV模式
pasv_min_port=40000//最小端口号
pasv_max_port=40080//最大端口号
pasv_promiscuous=YES
在防火墙配置内开启40000到40080端口
复制代码代码如下:
-A INPUT m state--state NEW m tcp p dport 40000:40080 j ACCEPT
重启iptabls和vsftpd
复制代码代码如下:
service iptables restart
service vsftpd restart
现在可以使用PASV模式连接你的FTP服务器了~
CentOS使用PAM锁定多次登陆失败的用户
CentOS使用PAM锁定多次登陆失败的用户
Linux有一个pam_tally2.so的PAM模块，来限定用户的登录失败次数，如果次数达到设置的阈值，则锁定用户。
编译PAM的配置文件
# vim/etc/pam.d/login
?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
#%PAM-1.0
auth required pam_tally2.so deny=3lock_time=300 even_deny_root root_unlock_time=10
auth [user_unknown=ignoresuccess=okignoreignore=ignore default=bad] pam_securetty.so
auth include system-auth
account required pam_nologin.so
account include system-auth
password include system-auth
# pam_selinux.so close should be the first session rule
session required pam_selinux.so close
session optional pam_keyinit.so force revoke
session required pam_loginuid.so
session include system-auth
session optional pam_console.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session required pam_selinux.so open
各参数解释
?
1
2
3
4
5
even_deny_root也限制root用户；
deny设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户
unlock_time设定普通用户锁定后，多少时间后解锁，单位是秒；
root_unlock_time设定root用户锁定后，多少时间后解锁，单位是秒；
此处使用的是 pam_tally2模块，如果不支持 pam_tally2可以使用 pam_tally模块。另外，不同的pam版本，设置可能有所不同，具体使用方法，可以参照相关模块的使用规则。
在#%PAM-1.0的下面，即第二行，添加内容，一定要写在前面，如果写在后面，虽然用户被锁定，但是只要用户输入正确的密码，还是可以登录的!
最终效果如下图
这个只是限制了用户从tty登录，而没有限制远程登录，如果想限制远程登录，需要改SSHD文件
# vim/etc/pam.d/sshd
?
1
2
3
4
5
6
7
8
9
#%PAM-1.0
auth required pam_tally2.so deny=3unlock_time=300 even_deny_root root_unlock_time=10
auth include system-auth
account required pam_nologin.so
account include system-auth
password include system-auth
session optional pam_keyinit.so force revoke
session include system-auth
session required pam_loginuid.so
同样是增加在第2行!
查看用户登录失败的次数
?
1
2
3
[root@node100 pam.d]# pam_tally2--user redhat
Login Failures Latest failure From
redhat 7 07/16/12 15:18:22 tty1
解锁指定用户
?
1
2
3
[root@node100 pam.d]# pam_tally2-r-u redhat
Login Failures Latest failure From
redhat 7 07/16/12 15:18:22 tty1
这个远程ssh的时候，没有提示，我用的是Xshell，不知道其它终端有没提示，只要超过设定的值，输入正确的密码也是登陆不了的!
