2018-10-11

1、ssh禁止root遠程登錄

修改ssh配置文件/etc/ssh/sshd_config

vim /etc/ssh/sshd_config

PermitRootLogin yes  #去掉前面的#並且將yes更改為no

重啟ssh

systemctl  restart sshd

2、新添加普通用戶並授權

創建用戶組

groupadd groupname

添加用戶並指定用戶組

useradd -g groupname username

或者使用默認用戶

useradd username

修改用戶密碼

passwd  username

限定用戶權限

visudo

最後一行添加

username ALL=(root) /usr/bin/*, !/usr/bin/passwd [A-Za-z]*

註意：ALL=(root)是說su只能切換到root用戶， 後面用逗號隔開的是用戶的權限，/usr/bin/*表示可以執行基本命令，/usr/local/elasticsearch-2.4.4/*是我自己的elasticsearch的文件路徑下所有權限， !/usr/bin/passwd [A-Za-z]*表示不可以修改除了自己的所有用戶的密碼

3、用戶登錄N次後，鎖定用戶，一段時間內禁止用戶登錄

在#%PAM-1.0的下面，即第二行，添加內容，一定要寫在前面，如果寫在後面，雖然用戶被鎖定，但是只要用戶輸入正確的密碼，還是可以登錄的！

vim /etc/pam.d/sshd
#%PAM-1.0 

auth required pam_tally2.so deny=3 unlock_time=300 even_deny_root root_unlock_time=10

各參數解釋
even_deny_root 也限制root用戶；
deny 設置普通用戶和root用戶連續錯誤登陸的最大次數，超過最大次數，則鎖定該用戶
unlock_time 設定普通用戶鎖定後，多少時間後解鎖，單位是秒；
root_unlock_time 設定root用戶鎖定後，多少時間後解鎖，單位是秒；
此處使用的是 pam_tally2 模塊，如果不支持 pam_tally2 可以使用 pam_tally 模塊。另外，不同的pam版本，設置可能有所不同，具體使用方法，可以參照相關模塊的使用規則

完成之後，即可使用普通用戶登錄服務器，服務器安全級別相對提升不少

centos 7 ssh登錄安全問題