建站
咨詢
售后
建站咨詢
新聞中心
在Linux系統(tǒng)上，一旦連續(xù)輸入密碼錯誤的次數(shù)超過預設的限制，登錄會被暫時鎖定。這個安全機制旨在防止暴力破解密碼的行為，但有時候卻會給用戶的工作造成很大的麻煩。為了避免登錄失敗鎖定，我們可以通過配置來解決。本文將介紹幾種方法來避免Linux登錄失敗鎖定的配置方法。
讓客戶滿意是我們工作的目標，不斷超越客戶的期望值來自于我們對這個行業(yè)的熱愛。我們立志把好的技術通過有效、簡單的方式提供給客戶，將通過不懈努力成為客戶在信息化領域值得信任、有價值的長期合作伙伴，公司提供的服務項目有：域名申請、虛擬空間、營銷軟件、網(wǎng)站建設、慈溪網(wǎng)站維護、網(wǎng)站推廣。
1. 修改登錄失敗鎖定策略
Linux系統(tǒng)默認會將用戶登錄失敗的次數(shù)限制在三次以內(nèi)。超過限制次數(shù)后，就會將該用戶賬號鎖定一段時間，使其無法登錄。這項安全機制在實踐中非常有效，但有時候也會出現(xiàn)誤判和誤操作。如果你需要避免登錄失敗鎖定的問題，你可以嘗試修改登錄失敗鎖定策略。你需要修改的是PAM模塊中的配置，這個模塊是Linux系統(tǒng)用來實現(xiàn)認證的一個基本組件。我們可以通過編輯/etc/pam.d/login文件來進行修改。
在該文件中，你需要找到如下所示的行：
auth required pam_tally.so onerr=fl deny=3 unlock_time=604800
其中，deny=3表示登錄失敗的次數(shù)上限，unlock_time=604800表示失敗后賬號自動解鎖時間為一周（單位是秒）。你可以根據(jù)自己的需要將上述值進行修改。
2. 使用多個賬號
另一個避免登錄失敗鎖定的方法是使用多個賬號。建立多個賬號，每個賬號都具有不同的權限和訪問權限，這將幫助你避免在操作過程中出現(xiàn)錯誤或被鎖定。你可以設立一個帶有管理員權限的賬號，用來處理一些敏感問題，同時為了避免被鎖定，你還需要使用其他的普通用戶賬號來執(zhí)行常規(guī)操作。這樣做可以幫助你分隔風險和麻煩，同時避免登錄失敗鎖定。
3. 使用SSH密鑰認證
SSH密鑰認證是避免登錄失敗鎖定的高效解決方案之一。SSH密鑰認證是一種使用密鑰對進行認證的方法，相對于口令認證，它更加安全和可靠，并且可以避免登錄失敗鎖定問題。SSH密鑰認證的原理是，你需要為每個用戶生成一對密鑰：私鑰和公鑰，將公鑰上傳到待訪問的Linux服務器上，然后在使用SSH登錄時，私鑰將和服務器上的公鑰進行匹配，從而完成身份認證。在這個過程中，不再需要輸入密碼，因此不會觸發(fā)登錄失敗鎖定機制。
4. 配置登錄記錄日志
對于Linux管理員而言，登錄失敗記錄的監(jiān)控是必要的。你需要確保記錄所有的登錄試圖，以便于快速了解當日的登錄情況。你可以使用Linux系統(tǒng)自帶的日志功能，通過配置/etc/rsyslog.conf文件來記錄所有的登錄信息：
auth.info /var/log/login.log
通過這項配置，所有登錄的信息都將通過loging.log文件記錄下來，這樣，你就可以隨時查看用戶的登錄情況，并了解到登錄過程中的任何問題。通過這種方法來記錄日志信息，可以幫助你更加有效的監(jiān)控登錄操作，識別潛在的風險，并及時采取措施避免問題的發(fā)生。
結論
為了避免Linux系統(tǒng)中的登錄失敗鎖定問題，我們可以通過修改登錄失敗鎖定策略、使用多個賬號、使用SSH密鑰認證以及配置登錄記錄日志等方法來實現(xiàn)。這些方法可以讓我們更好的維護系統(tǒng)的安全性，并避免登錄失敗鎖定的問題。當然，這些不是排除其他風險的措施，因此，作為一個管理員，我們需要保持高度警惕，并及時采取措施應對可能出現(xiàn)的風險和問題。
涉及到一些技術細節(jié)，本文所討論的方法僅供參考。如果你需要進一步學習更多關于Linux安全的知識，建議你查閱相關的文獻和教材，或參加相關的培訓和研討會。
相關問題拓展閱讀：
- linux red hat5 （企業(yè)版） 密碼策略 配置及啟動
- 如何在 Linux 上設置密碼策略
linux red hat5 （企業(yè)版） 密碼策略 配置及啟動
1、Linux系統(tǒng)的用戶帳號策略
編輯/etc/pam.d/system-auth 添加如下語句。
auth required /lib/security/$ISA/pam_tally.so deny=5
account required pam_tally.so
該語句的解釋：密掘備碼更大聯(lián)系登錄6次，超過只能聯(lián)系管理員。
2、密碼策略
2.1編輯/etc/login.defs 指定如下參數(shù)的值。
PASS_MAX_DAYS
PASS_MIN_DAYS 0
PASS_MIN_LEN 5
PASS_WARN_AGE 7
參數(shù)值得解釋： PASS_MAX_DAYS（設置密碼過期日期）
PASS_MIN_DAYS(設置密碼最少更改日期）
PASS_MIN_LEN(設置密碼最小長度）時指密碼設置的最小長度，一般定義為8位以上
PASS_WARN_AGE(設置過期提前警告天數(shù)）
2.2 設置賬戶鎖定登陸失敗鎖定次數(shù)、鎖定時間
編輯/etc/pam.d/system- auth 首先 cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak
#vi /etc/pam.d/system-auth
auth required pam_tally.so onerr=fail deny=6 unlock_time=300
解釋：設置位密碼連續(xù)六次鎖定，鎖定時間300秒判耐毀
解鎖用戶 faillog -u
2.3 設置口令的畝旅復雜程度。
編輯/etc/pam.d/system- auth 首先 cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak
#vi /etc/pam.d/system-auth
找到pam_cracklib.so 在后面加一些參數(shù)，
例：password requisite pam_cracklib.so minlen=8 ucredit=-2 lcredit=-2 dcredit=-5 ocredit=-1
意思為最少有2個大寫字母，2個小寫字符，5個數(shù)字， 1個符號
2.4 限制su的權限
如果你不想任何人能夠用su作為root，可以編輯/etc/pam.d/su文件，增加如下兩行：
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=isd
這時，僅isd組的用戶可以用su作為root。此后，如果你希望用戶admin能夠用su作為root，可以運行如下命令
# usermod -G10 admin
如何在 Linux 上設置密碼策略
修改 /etc/login.defs文件
密碼有效轎含期
PASS_MAX_DAYS 閉姿笑99999
PASS_MIN_DAYS 0
PASS_WARN_AGE 7
密碼冊咐重試次數(shù)
LOGIN_RETRIES
1.準備 安裝一個PAM模塊來啟用cracklib支持，這可以提供額外的密碼檢查功能。 在Debin,Ubuntu或者Linux Mint使用命令：sudo apt-get install libpam-cracklib
這個模塊在CentOS,Fedora或者RHEL默認安裝了。所以在這些系統(tǒng)上就罩含沒有必要安裝了。
如要強制執(zhí)行密碼策略，我們需要修改/etc/pam.d這個與身份驗證相關的文件。這個文件會在修改后立即生效。
請注意，本教程中的密碼規(guī)則只有在非root用戶更改密碼時強制執(zhí)行。
2.避免重復使用舊密碼 尋找同時包含“password”和”pam_unix.so”的行，然后再這行后面加上“remember=5”。這將防止5個最近使用過的密碼被用來設置為新密碼（通過將它們存放在/etc/security/opasswd文件中）。 在Debin,Ubuntu或者Linux Mint使用命令：sudo vi /etc/pam.d/common-password
修改內(nèi)容：password pam_unix.so obscure sha512 remember=5
在Fedora,CentOS或RHEL使用命令：sudo vi /etc/pam.d/system-auth
修改內(nèi)容：password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5
3.設置最小密碼長度 尋找同時包含物爛笑“password”和“pam_cracklib.so”的一行，并在后面加上“minlen=10”。這將強行設置密碼的最小密碼長度為10位，其中多少個不同類型的字符在密碼中使用。有四種符號類型（大寫、小寫、數(shù)字和符號）。所以如果使用所有四種類型的組合，并指定最小長度為10，所允許的簡單密碼部分將是6位。 在Debin,Ubuntu或者Linux Mint使用命令：sudo vi /etc/pam.d/common-password
修改內(nèi)容：password requisite pam_cracklib.so retry=3 minlen=10 difok=3
在Fedora,CentOS或RHEL使用命令：sudo vi /etc/pam.d/system-auth
修改內(nèi)容：password requisite pam_cracklib.so retry=3 difok=3 minlen=10
4.設置密碼復雜度 尋找同時包含“password”和“pam_cracklib.so”的一行，并在后面加上“ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1”。這將迫使你在密碼中至少包括一個大寫字母、兩個小寫字母、一個數(shù)字和一個符號。 在Debin,Ubuntu或者Linux Mint使用命令：sudo vi /etc/歷銷pam.d/common-password
修改內(nèi)容：password requisite pam_cracklib.so retry=3 minlen=10 difok=3 ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1
在Fedora,CentOS或RHEL使用命令：sudo vi /etc/pam.d/system-auth
修改內(nèi)容：password requisite pam_cracklib.so retry=3 difok=3 minlen=10 ucredit=-1 lcredit=-2 dcredit=-1 ocredit=-1
5.設置密碼的有效期 要設置當前密碼的更大有效期，就修改/etc/login.defs文件的下列變量：sudo vi /etc/login.def
修改內(nèi)容：PASS_MAX_DAYS
PASS_MIN_DAYS 0
PASS_WARN_AGE 7
這將迫使每一位用戶每半年更改一次他們的密碼，并且在密碼過期之前七天發(fā)送密碼過期還有幾天到等等的警告信息給用戶（到最后甚至在用戶開機登錄時強制用戶更改密碼，不然無法進入系統(tǒng)（個人在linux程序設計中看到的知識，非原作者觀點））。如果你想基于不同的用戶使用密碼期限功能，那就使用chage命令。要查看針對特別用戶的密碼過期策略使用的命令如下：sudo chage -l xmodulo
注意：xmodule是原作者在linux系統(tǒng)中使用的用戶名。 顯示如下：Last password change: Dec 30, 2023
Password expires: never
Password inactive: never
Account expires: never
Minimum number of days between password change: 0
Maximum number of days between password change: 99999
Number of days of warning before password expires: 7
默認設置中，用戶的密碼是不會過期的。 為用戶的xmodulo更改有限期限的命令如下：$ sudo chage -E 6/30/2023 -m 5 -M 90 -I 30 -W 14 xmodulo
以上命令將密碼設置為在2023年6月30日過期。并且，密碼更改時間間隔的更大/最小數(shù)量分別為5和90。在一個密碼過期后，這個賬號將被鎖30天。在密碼過期前14天，警告信息就會發(fā)送到對應的賬戶。
根據(jù)不同的Linux版本，配置的文件及路徑可能不同，一般在/etc/pam.d目錄下
如下是arch linux的一個例子，僅作參考：
配置文件為/etc/pam.d/passwd，參考之一行的配置，解釋：
pam_cracklib.so #是檢查密碼的一個安全模塊
difok=2 #表示新的密碼中與舊密碼相比，至少有2個字符不同
minlen=8 #表示密碼長度至少8位
dcredit=2 #表示密碼中至多包含2位數(shù)字
retry=3 #表示密碼不符合策略時至多提示3次，超過3次則返回錯誤
建議根據(jù)你自己的Linux版本，查看相應的man幫助文檔，進行配置。提醒，嘩基修改這坦蘆森些配置風險較高，一旦改錯，可能導致讓畝無法正常登錄系統(tǒng)。
一般人不會凳滑漏這么詳細，望采納：
=================================================
一:用戶密碼安全設置：
修改/etc/login.defs
PASS_MAX_DAYS 90 用戶的密碼不過期最多的天數(shù);
PASS_MIN_DAYS 15 密碼修改之間最小的天數(shù);
PASS_MIN_LEN 8 密碼最小長度;
PASS_WARN_AGE 10 密碼過期之前提醒的天數(shù)
=================================================
ssh登陸失敗5次鎖定用戶
vim /etc/pam.d/sshd
vi /etc/讓悶pam.d/sshd
auth required pam_tally.so deny=3 unlock_time=900（deny=N為登錄失棗爛敗N次后鎖定用戶）
清除鎖定：pam_tally2 -r -u username
或者：vim /etc/pam.d/login
查看系統(tǒng)審服務是否開啟
service auditd status
關于linux配置登錄失敗鎖定的介紹到此就結束了，不知道你從中找到你需要的信息了嗎 ？如果你還想了解更多這方面的信息，記得收藏關注本站。
香港服務器選創(chuàng)新互聯(lián)，2H2G首月10元開通。
創(chuàng)新互聯(lián)（www.cdcxhl.com）互聯(lián)網(wǎng)服務提供商,擁有超過10年的服務器租用、服務器托管、云服務器、虛擬主機、網(wǎng)站系統(tǒng)開發(fā)經(jīng)驗。專業(yè)提供云主機、虛擬主機、域名注冊、VPS主機、云服務器、香港云服務器、免備案服務器等。
新聞標題：如何避免Linux登錄失敗鎖定的配置方法(linux配置登錄失敗鎖定)
轉(zhuǎn)載注明：http://m.5511xx.com/article/cogpsis.html
