建站
咨詢
售后
建站咨詢
新聞中心
在Linux系統(tǒng)上，一旦連續(xù)輸入密碼錯(cuò)誤的次數(shù)超過預(yù)設(shè)的限制，登錄會(huì)被暫時(shí)鎖定。這個(gè)安全機(jī)制旨在防止暴力破解密碼的行為，但有時(shí)候卻會(huì)給用戶的工作造成很大的麻煩。為了避免登錄失敗鎖定，我們可以通過配置來解決。本文將介紹幾種方法來避免Linux登錄失敗鎖定的配置方法。
讓客戶滿意是我們工作的目標(biāo)，不斷超越客戶的期望值來自于我們對這個(gè)行業(yè)的熱愛。我們立志把好的技術(shù)通過有效、簡單的方式提供給客戶，將通過不懈努力成為客戶在信息化領(lǐng)域值得信任、有價(jià)值的長期合作伙伴，公司提供的服務(wù)項(xiàng)目有：域名申請、虛擬空間、營銷軟件、網(wǎng)站建設(shè)、慈溪網(wǎng)站維護(hù)、網(wǎng)站推廣。
1. 修改登錄失敗鎖定策略
Linux系統(tǒng)默認(rèn)會(huì)將用戶登錄失敗的次數(shù)限制在三次以內(nèi)。超過限制次數(shù)后，就會(huì)將該用戶賬號(hào)鎖定一段時(shí)間，使其無法登錄。這項(xiàng)安全機(jī)制在實(shí)踐中非常有效，但有時(shí)候也會(huì)出現(xiàn)誤判和誤操作。如果你需要避免登錄失敗鎖定的問題，你可以嘗試修改登錄失敗鎖定策略。你需要修改的是PAM模塊中的配置，這個(gè)模塊是Linux系統(tǒng)用來實(shí)現(xiàn)認(rèn)證的一個(gè)基本組件。我們可以通過編輯/etc/pam.d/login文件來進(jìn)行修改。
在該文件中，你需要找到如下所示的行：
auth required pam_tally.so onerr=fl deny=3 unlock_time=604800
其中，deny=3表示登錄失敗的次數(shù)上限，unlock_time=604800表示失敗后賬號(hào)自動(dòng)解鎖時(shí)間為一周（單位是秒）。你可以根據(jù)自己的需要將上述值進(jìn)行修改。
2. 使用多個(gè)賬號(hào)
另一個(gè)避免登錄失敗鎖定的方法是使用多個(gè)賬號(hào)。建立多個(gè)賬號(hào)，每個(gè)賬號(hào)都具有不同的權(quán)限和訪問權(quán)限，這將幫助你避免在操作過程中出現(xiàn)錯(cuò)誤或被鎖定。你可以設(shè)立一個(gè)帶有管理員權(quán)限的賬號(hào)，用來處理一些敏感問題，同時(shí)為了避免被鎖定，你還需要使用其他的普通用戶賬號(hào)來執(zhí)行常規(guī)操作。這樣做可以幫助你分隔風(fēng)險(xiǎn)和麻煩，同時(shí)避免登錄失敗鎖定。
3. 使用SSH密鑰認(rèn)證
SSH密鑰認(rèn)證是避免登錄失敗鎖定的高效解決方案之一。SSH密鑰認(rèn)證是一種使用密鑰對進(jìn)行認(rèn)證的方法，相對于口令認(rèn)證，它更加安全和可靠，并且可以避免登錄失敗鎖定問題。SSH密鑰認(rèn)證的原理是，你需要為每個(gè)用戶生成一對密鑰：私鑰和公鑰，將公鑰上傳到待訪問的Linux服務(wù)器上，然后在使用SSH登錄時(shí)，私鑰將和服務(wù)器上的公鑰進(jìn)行匹配，從而完成身份認(rèn)證。在這個(gè)過程中，不再需要輸入密碼，因此不會(huì)觸發(fā)登錄失敗鎖定機(jī)制。
4. 配置登錄記錄日志
對于Linux管理員而言，登錄失敗記錄的監(jiān)控是必要的。你需要確保記錄所有的登錄試圖，以便于快速了解當(dāng)日的登錄情況。你可以使用Linux系統(tǒng)自帶的日志功能，通過配置/etc/rsyslog.conf文件來記錄所有的登錄信息：
auth.info /var/log/login.log
通過這項(xiàng)配置，所有登錄的信息都將通過loging.log文件記錄下來，這樣，你就可以隨時(shí)查看用戶的登錄情況，并了解到登錄過程中的任何問題。通過這種方法來記錄日志信息，可以幫助你更加有效的監(jiān)控登錄操作，識(shí)別潛在的風(fēng)險(xiǎn)，并及時(shí)采取措施避免問題的發(fā)生。
結(jié)論
為了避免Linux系統(tǒng)中的登錄失敗鎖定問題，我們可以通過修改登錄失敗鎖定策略、使用多個(gè)賬號(hào)、使用SSH密鑰認(rèn)證以及配置登錄記錄日志等方法來實(shí)現(xiàn)。這些方法可以讓我們更好的維護(hù)系統(tǒng)的安全性，并避免登錄失敗鎖定的問題。當(dāng)然，這些不是排除其他風(fēng)險(xiǎn)的措施，因此，作為一個(gè)管理員，我們需要保持高度警惕，并及時(shí)采取措施應(yīng)對可能出現(xiàn)的風(fēng)險(xiǎn)和問題。
涉及到一些技術(shù)細(xì)節(jié)，本文所討論的方法僅供參考。如果你需要進(jìn)一步學(xué)習(xí)更多關(guān)于Linux安全的知識(shí)，建議你查閱相關(guān)的文獻(xiàn)和教材，或參加相關(guān)的培訓(xùn)和研討會(huì)。
相關(guān)問題拓展閱讀：
- linux red hat5 （企業(yè)版） 密碼策略 配置及啟動(dòng)
- 如何在 Linux 上設(shè)置密碼策略
linux red hat5 （企業(yè)版） 密碼策略 配置及啟動(dòng)
1、Linux系統(tǒng)的用戶帳號(hào)策略
編輯/etc/pam.d/system-auth 添加如下語句。
auth required /lib/security/$ISA/pam_tally.so deny=5
account required pam_tally.so
該語句的解釋：密掘備碼更大聯(lián)系登錄6次，超過只能聯(lián)系管理員。
2、密碼策略
2.1編輯/etc/login.defs 指定如下參數(shù)的值。
PASS_MAX_DAYS
PASS_MIN_DAYS 0
PASS_MIN_LEN 5
PASS_WARN_AGE 7
參數(shù)值得解釋： PASS_MAX_DAYS（設(shè)置密碼過期日期）
PASS_MIN_DAYS(設(shè)置密碼最少更改日期）
PASS_MIN_LEN(設(shè)置密碼最小長度）時(shí)指密碼設(shè)置的最小長度，一般定義為8位以上
PASS_WARN_AGE(設(shè)置過期提前警告天數(shù)）
2.2 設(shè)置賬戶鎖定登陸失敗鎖定次數(shù)、鎖定時(shí)間
編輯/etc/pam.d/system- auth 首先 cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak
#vi /etc/pam.d/system-auth
auth required pam_tally.so onerr=fail deny=6 unlock_time=300
解釋：設(shè)置位密碼連續(xù)六次鎖定，鎖定時(shí)間300秒判耐毀
解鎖用戶 faillog -u
2.3 設(shè)置口令的畝旅復(fù)雜程度。
編輯/etc/pam.d/system- auth 首先 cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak
#vi /etc/pam.d/system-auth
找到pam_cracklib.so 在后面加一些參數(shù)，
例：password requisite pam_cracklib.so minlen=8 ucredit=-2 lcredit=-2 dcredit=-5 ocredit=-1
意思為最少有2個(gè)大寫字母，2個(gè)小寫字符，5個(gè)數(shù)字， 1個(gè)符號(hào)
2.4 限制su的權(quán)限
如果你不想任何人能夠用su作為root，可以編輯/etc/pam.d/su文件，增加如下兩行：
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=isd
這時(shí)，僅isd組的用戶可以用su作為root。此后，如果你希望用戶admin能夠用su作為root，可以運(yùn)行如下命令
# usermod -G10 admin
如何在 Linux 上設(shè)置密碼策略
修改 /etc/login.defs文件
密碼有效轎含期
PASS_MAX_DAYS 閉姿笑99999
PASS_MIN_DAYS 0
PASS_WARN_AGE 7
密碼冊咐重試次數(shù)
LOGIN_RETRIES
1.準(zhǔn)備 安裝一個(gè)PAM模塊來啟用cracklib支持，這可以提供額外的密碼檢查功能。 在Debin,Ubuntu或者Linux Mint使用命令：sudo apt-get install libpam-cracklib
這個(gè)模塊在CentOS,Fedora或者RHEL默認(rèn)安裝了。所以在這些系統(tǒng)上就罩含沒有必要安裝了。
如要強(qiáng)制執(zhí)行密碼策略，我們需要修改/etc/pam.d這個(gè)與身份驗(yàn)證相關(guān)的文件。這個(gè)文件會(huì)在修改后立即生效。
請注意，本教程中的密碼規(guī)則只有在非root用戶更改密碼時(shí)強(qiáng)制執(zhí)行。
2.避免重復(fù)使用舊密碼 尋找同時(shí)包含“password”和”pam_unix.so”的行，然后再這行后面加上“remember=5”。這將防止5個(gè)最近使用過的密碼被用來設(shè)置為新密碼（通過將它們存放在/etc/security/opasswd文件中）。 在Debin,Ubuntu或者Linux Mint使用命令：sudo vi /etc/pam.d/common-password
修改內(nèi)容：password pam_unix.so obscure sha512 remember=5
在Fedora,CentOS或RHEL使用命令：sudo vi /etc/pam.d/system-auth
修改內(nèi)容：password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5
3.設(shè)置最小密碼長度 尋找同時(shí)包含物爛笑“password”和“pam_cracklib.so”的一行，并在后面加上“minlen=10”。這將強(qiáng)行設(shè)置密碼的最小密碼長度為10位，其中多少個(gè)不同類型的字符在密碼中使用。有四種符號(hào)類型（大寫、小寫、數(shù)字和符號(hào)）。所以如果使用所有四種類型的組合，并指定最小長度為10，所允許的簡單密碼部分將是6位。 在Debin,Ubuntu或者Linux Mint使用命令：sudo vi /etc/pam.d/common-password
修改內(nèi)容：password requisite pam_cracklib.so retry=3 minlen=10 difok=3
在Fedora,CentOS或RHEL使用命令：sudo vi /etc/pam.d/system-auth
修改內(nèi)容：password requisite pam_cracklib.so retry=3 difok=3 minlen=10
4.設(shè)置密碼復(fù)雜度 尋找同時(shí)包含“password”和“pam_cracklib.so”的一行，并在后面加上“ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1”。這將迫使你在密碼中至少包括一個(gè)大寫字母、兩個(gè)小寫字母、一個(gè)數(shù)字和一個(gè)符號(hào)。 在Debin,Ubuntu或者Linux Mint使用命令：sudo vi /etc/歷銷pam.d/common-password
修改內(nèi)容：password requisite pam_cracklib.so retry=3 minlen=10 difok=3 ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1
在Fedora,CentOS或RHEL使用命令：sudo vi /etc/pam.d/system-auth
修改內(nèi)容：password requisite pam_cracklib.so retry=3 difok=3 minlen=10 ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1
5.設(shè)置密碼的有效期 要設(shè)置當(dāng)前密碼的更大有效期，就修改/etc/login.defs文件的下列變量：sudo vi /etc/login.def
修改內(nèi)容：PASS_MAX_DAYS
PASS_MIN_DAYS 0
PASS_WARN_AGE 7
這將迫使每一位用戶每半年更改一次他們的密碼，并且在密碼過期之前七天發(fā)送密碼過期還有幾天到等等的警告信息給用戶（到最后甚至在用戶開機(jī)登錄時(shí)強(qiáng)制用戶更改密碼，不然無法進(jìn)入系統(tǒng)（個(gè)人在linux程序設(shè)計(jì)中看到的知識(shí)，非原作者觀點(diǎn)））。如果你想基于不同的用戶使用密碼期限功能，那就使用chage命令。要查看針對特別用戶的密碼過期策略使用的命令如下：sudo chage -l xmodulo
注意：xmodule是原作者在linux系統(tǒng)中使用的用戶名。 顯示如下：Last password change: Dec 30, 2023
Password expires: never
Password inactive: never
Account expires: never
Minimum number of days between password change: 0
Maximum number of days between password change: 99999
Number of days of warning before password expires: 7
默認(rèn)設(shè)置中，用戶的密碼是不會(huì)過期的。 為用戶的xmodulo更改有限期限的命令如下：$ sudo chage -E 6/30/2023 -m 5 -M 90 -I 30 -W 14 xmodulo
以上命令將密碼設(shè)置為在2023年6月30日過期。并且，密碼更改時(shí)間間隔的更大/最小數(shù)量分別為5和90。在一個(gè)密碼過期后，這個(gè)賬號(hào)將被鎖30天。在密碼過期前14天，警告信息就會(huì)發(fā)送到對應(yīng)的賬戶。
根據(jù)不同的Linux版本，配置的文件及路徑可能不同，一般在/etc/pam.d目錄下
如下是arch linux的一個(gè)例子，僅作參考：
配置文件為/etc/pam.d/passwd，參考之一行的配置，解釋：
pam_cracklib.so #是檢查密碼的一個(gè)安全模塊
difok=2 #表示新的密碼中與舊密碼相比，至少有2個(gè)字符不同
minlen=8 #表示密碼長度至少8位
dcredit=2 #表示密碼中至多包含2位數(shù)字
retry=3 #表示密碼不符合策略時(shí)至多提示3次，超過3次則返回錯(cuò)誤
建議根據(jù)你自己的Linux版本，查看相應(yīng)的man幫助文檔，進(jìn)行配置。提醒，嘩基修改這坦蘆森些配置風(fēng)險(xiǎn)較高，一旦改錯(cuò)，可能導(dǎo)致讓畝無法正常登錄系統(tǒng)。
一般人不會(huì)凳滑漏這么詳細(xì)，望采納：
=================================================
一:用戶密碼安全設(shè)置：
修改/etc/login.defs
PASS_MAX_DAYS 90 用戶的密碼不過期最多的天數(shù);
PASS_MIN_DAYS 15 密碼修改之間最小的天數(shù);
PASS_MIN_LEN 8 密碼最小長度;
PASS_WARN_AGE 10 密碼過期之前提醒的天數(shù)
=================================================
ssh登陸失敗5次鎖定用戶
vim /etc/pam.d/sshd
vi /etc/讓悶pam.d/sshd
auth required pam_tally.so deny=3 unlock_time=900（deny=N為登錄失棗爛敗N次后鎖定用戶）
清除鎖定：pam_tally2 -r -u username
或者：vim /etc/pam.d/login
查看系統(tǒng)審服務(wù)是否開啟
service auditd status
關(guān)于linux配置登錄失敗鎖定的介紹到此就結(jié)束了，不知道你從中找到你需要的信息了嗎 ？如果你還想了解更多這方面的信息，記得收藏關(guān)注本站。
香港服務(wù)器選創(chuàng)新互聯(lián)，2H2G首月10元開通。
創(chuàng)新互聯(lián)（www.cdcxhl.com）互聯(lián)網(wǎng)服務(wù)提供商,擁有超過10年的服務(wù)器租用、服務(wù)器托管、云服務(wù)器、虛擬主機(jī)、網(wǎng)站系統(tǒng)開發(fā)經(jīng)驗(yàn)。專業(yè)提供云主機(jī)、虛擬主機(jī)、域名注冊、VPS主機(jī)、云服務(wù)器、香港云服務(wù)器、免備案服務(wù)器等。
網(wǎng)站欄目：如何避免Linux登錄失敗鎖定的配置方法(linux配置登錄失敗鎖定)
轉(zhuǎn)載來源：http://www.dlmjj.cn/article/cogpsis.html
