Linux用户登录失败锁定策略

1、账户锁定策略介绍

　　在Linux系统中，为了提高系统安全性，防止暴力破解攻击，我们可以通过配置PAM（Pluggable Authentication Modules）模块来限制登录失败次数并锁定用户账户，本文将详细介绍如何实现这一功能，包括必要的步骤和配置文件的修改。

2、系统环境

　　系统环境：RedHat 8.0

　　主要配置文件：/etc/pam.d/login、/etc/pam.d/gdm-autologin、/etc/pam.d/sshd、system-auth和password-auth

3、账户登录方式

3.1、登录方式

　　Linux中账户登录验证方式：

　　1.本地tty登录，这里是使用login命令，从而调用/etc/pam.d/login配置文件，最终调用底层的组件进行密码验证等；

　　2.ssh远程登录，调用/etc/pam.d/sshd配置文件；

　　3.本地图形化界面，比如我用gdm，那么我在图形化登录界面时，就会调用/etc/pam.d/gdm-password配置文件。

3.2、文件内容

　　在RedHat 8.0之后的系统环境中，不在使用pam_tally2组件进行登录锁定策略设置，而是使用faillock组件对其登录锁定策略进行设置，如果仅仅放置在system-auth文件中，实际上就只对本地tty登录方式进行了限制，如果需要对本地图形化界面设置，则需要password-auth配置文件进行参数配置。

3.2.1、/etc/pam.d/login

　　可以看到/etc/pam.d/login配置文件中使用substack参数引用了其他的配置文件，具体引用模块则是：system-auth

 1 [root@RedHat8 ~]# cat /etc/pam.d/login
 2 #%PAM-1.0
 3 auth       substack     system-auth
 4 auth       include      postlogin
 5 account    required     pam_nologin.so
 6 account    include      system-auth
 7 password   include      system-auth
 8 # pam_selinux.so close should be the first session rule
 9 session    required     pam_selinux.so close
10 session    required     pam_loginuid.so
11 session    optional     pam_console.so
12 # pam_selinux.so open should only be followed by sessions to be executed in the user context
13 session    required     pam_selinux.so open
14 session    required     pam_namespace.so
15 session    optional     pam_keyinit.so force revoke
16 session    include      system-auth
17 session    include      postlogin
18 -session   optional     pam_ck_connector.so

3.2.2、/etc/pam.d/sshd

　　可以看到/etc/pam.d/sshd配置文件中使用substack参数引用了其他的配置文件，具体引用模块则是：password-auth

 1 [root@RedHat8 ~]# cat /etc/pam.d/sshd
 2 #%PAM-1.0
 3 auth       substack     password-auth
 4 auth       include      postlogin
 5 account    required     pam_sepermit.so
 6 account    required     pam_nologin.so
 7 account    include      password-auth
 8 password   include      password-auth
 9 # pam_selinux.so close should be the first session rule
10 session    required     pam_selinux.so close
11 session    required     pam_loginuid.so
12 # pam_selinux.so open should only be followed by sessions to be executed in the user context
13 session    required     pam_selinux.so open env_params
14 session    required     pam_namespace.so
15 session    optional     pam_keyinit.so force revoke
16 session    optional     pam_motd.so
17 session    include      password-auth
18 session    include      postlogin

3.2.3、/etc/pam.d/gdm-password

　　可以看到cat /etc/pam.d/gdm-password配置文件中使用substack参数引用了其他的配置文件，具体引用模块则是：password-auth

 1 [root@RedHat8 ~]# cat /etc/pam.d/gdm-password
 2 auth     [success=done ignore=ignore default=bad] pam_selinux_permit.so
 3 auth        substack      password-auth
 4 auth        optional      pam_gnome_keyring.so
 5 auth        include       postlogin
 6
 7 account     required      pam_nologin.so
 8 account     include       password-auth
 9
10 password    substack       password-auth
11 -password   optional       pam_gnome_keyring.so use_authtok
12
13 session     required      pam_selinux.so close
14 session     required      pam_loginuid.so
15 session     optional      pam_console.so
16 session     required      pam_selinux.so open
17 session     optional      pam_keyinit.so force revoke
18 session     required      pam_namespace.so
19 session     include       password-auth
20 session     optional      pam_gnome_keyring.so auto_start
21 session     include       postlogin

4、通过system-auth模块设置账户锁定策略

4.1、修改system-auth配置文件

　　执行命令： vi /etc/pam.d/system-auth ，将以下配置参数新增在auth字段上面：　

　　auth required pam_faillock.so preauth silent audit deny=3 unlock_time=600 　　　　用户登录失败3次，锁定10分钟
　　auth sufficient pam_unix.so nullok try_first_pass 　　　　　　　　　　　　　　　　 允许用户执行su权限，如果不添加该参数，则用户无法使用su进行切换
　　auth [default=die] pam_faillock.so authfail audit deny=3 unlock_time=300 　　　　  密码验证失败后更新失败尝试记录间隔时间300秒
　　account required pam_faillock.so 　　　　　　　　　　　　　　　　　　　　　　           检查账户是否因密码输错过多而被锁定，并阻止被锁定的账户登录

　　如图所示：

 1 # Generated by authselect on Thu Feb 13 07:05:03 2025
 2 # Do not modify this file manually.
 3
 4 auth        required                                     pam_faillock.so preauth silent audit deny=3 unlock_time=600
 5 auth        sufficient                                   pam_unix.so nullok try_first_pass
 6 auth        [default=die]                                pam_faillock.so authfail audit deny=3 unlock_time=300
 7 account     required                                     pam_faillock.so
 8
 9 auth        required                                     pam_env.so
10 auth        required                                     pam_faildelay.so delay=2000000
11 auth        sufficient                                   pam_fprintd.so
12 auth        [default=1 ignore=ignore success=ok]         pam_succeed_if.so uid >= 1000 quiet
13 auth        [default=1 ignore=ignore success=ok]         pam_localuser.so
14 auth        sufficient                                   pam_unix.so nullok try_first_pass
15 auth        requisite                                    pam_succeed_if.so uid >= 1000 quiet_success
16 auth        sufficient                                   pam_sss.so forward_pass
17 auth        required                                     pam_deny.so
18
19 account     required                                     pam_unix.so
20 account     sufficient                                   pam_localuser.so
21 account     sufficient                                   pam_succeed_if.so uid < 1000 quiet
22 account     [default=bad success=ok user_unknown=ignore] pam_sss.so
23 account     required                                     pam_permit.so
24
25 password    requisite                                    pam_pwquality.so try_first_pass local_users_only
26 password    sufficient                                   pam_unix.so sha512 shadow nullok try_first_pass use_authtok
27 password    sufficient                                   pam_sss.so use_authtok
28 password    required                                     pam_deny.so
29
30 session     optional                                     pam_keyinit.so revoke
31 session     required                                     pam_limits.so
32 -session    optional                                     pam_systemd.so
33 session     [success=1 default=ignore]                   pam_succeed_if.so service in crond quiet use_uid
34 session     required                                     pam_unix.so
35 session     optional                                     pam_sss.so

4.2、登录测试

　　测试截图：

　　

　　使用命令： faillock --user test 查看test用户锁定情况，可以看到test用户登录失败3次后，已经被锁定。

　　

　　使用命令： faillock --user test --reset 解锁test用户。

　　解锁后，用户登录正常

　　

5、通过password-auth模块设置账户锁定策略

5.1、修改password-auth配置文件

　　执行命令： vi /etc/pam.d/password-auth ，将以下配置参数新增在auth字段上面：

　　 auth required pam_faillock.so preauth silent audit deny=3 unlock_time=600 　　　　用户登录失败3次，锁定10分钟

　　 auth sufficient pam_unix.so nullok try_first_pass 　　　　　　　　　　　　　　　　 允许用户执行su权限，如果不添加该参数，则用户无法使用su进行切换

　　 auth [default=die] pam_faillock.so authfail audit deny=3 unlock_time=300 　　　　  密码验证失败后更新失败尝试记录间隔时间300秒

　　 account required pam_faillock.so 　　　　　　　　　　　　　　　　　　　　　　　　　 检查账户是否因密码输错过多而被锁定，并阻止被锁定的账户登录

　　如图所示：

 1 [root@RedHat8 ~]# cat /etc/pam.d/password-auth
 2 # Generated by authselect on Thu Feb 13 07:05:03 2025
 3 # Do not modify this file manually.
 4
 5 auth        required                                     pam_faillock.so preauth silent audit deny=3 unlock_time=600
 6 auth        sufficient                                   pam_unix.so nullok try_first_pass
 7 auth        [default=die]                                pam_faillock.so authfail audit deny=3 unlock_time=300
 8 account     required                                     pam_faillock.so
 9
10 auth        required                                     pam_env.so
11 auth        required                                     pam_faildelay.so delay=2000000
12 auth        [default=1 ignore=ignore success=ok]         pam_succeed_if.so uid >= 1000 quiet
13 auth        [default=1 ignore=ignore success=ok]         pam_localuser.so
14 auth        sufficient                                   pam_unix.so nullok try_first_pass
15 auth        requisite                                    pam_succeed_if.so uid >= 1000 quiet_success
16 auth        sufficient                                   pam_sss.so forward_pass
17 auth        required                                     pam_deny.so
18
19 account     required                                     pam_unix.so
20 account     sufficient                                   pam_localuser.so
21 account     sufficient                                   pam_succeed_if.so uid < 1000 quiet
22 account     [default=bad success=ok user_unknown=ignore] pam_sss.so
23 account     required                                     pam_permit.so
24
25 password    requisite                                    pam_pwquality.so try_first_pass local_users_only
26 password    sufficient                                   pam_unix.so sha512 shadow nullok try_first_pass use_authtok
27 password    sufficient                                   pam_sss.so use_authtok
28 password    required                                     pam_deny.so
29
30 session     optional                                     pam_keyinit.so revoke
31 session     required                                     pam_limits.so
32 -session    optional                                     pam_systemd.so
33 session     [success=1 default=ignore]                   pam_succeed_if.so service in crond quiet use_uid
34 session     required                                     pam_unix.so
35 session     optional                                     pam_sss.so

5.2、登录测试

5.2.1、图形化界面登录测试

　　图形化界面3次登录失败后截图：

　　后台查看test用户锁定情况，使用命令： faillock --user test ，可以看到test用户登录失败3次后，已经被锁定，这时图形化登录界面即使输入正确密码也无法登录。

　　使用命令： faillock --user test --reset ，解锁test用户

　　解锁用户后，再次查询test账户锁定情况，这时锁定记录已经被清空了，代表用户可以正常登录图形化界面了。

　　再次进行图形化界面登录测试，这时图形化界面可以正常登录进去。

5.2.2、SSH远程登录测试

　　ssh远程登录失败3次后截图：

　　后台查看test用户锁定情况，使用命令： faillock ，可以看到主机192.168.5.92上的test用户登录失败3次后，已经被锁定，这时即使输入正确密码也无法登录。

　　使用命令： faillock --user test --reset ，解锁远程主机192.168.5.92上的test用户，再次查看远程主机用户锁定情况，这时锁定记录已经被清空了，代表远程主机可以正常登录。（测试发现，使用命令： faillock --user 192.168.5.92 --reset ，没有报错，但是针对远程主机的IP进行解锁，无效）

　　再次在远程主机上使用ssh进行远程登录，账户可以正常登录。