配置服务器SSH PAM防止暴力破解

正常机器如果开启ssh可能会被暴力破解用户密码,可以配置ssh的pam限制登录失败时可以锁定用户一段时间,就算密码输入正确也无法登录,等恢复之后才可以再次进入,对于不同的发行版配置可能略有不同,对于redhat/centos/fedora系统是依赖pam_faillock.so模块来实现,位置在/usr/lib64/security/pam_faillock.so,对于debian/ubuntu则是依赖pam_tally2.so模块来实现,debian位置可能在/usr/lib/x86_64-linux-gnu/security/pam_tally2.so,而ubuntu可能在:/lib/x86_64-linux-gnu/security/pam_tally2.so,对于centos 7既有pam_faillock.so又有pam_tally2.so都在/usr/lib64/security下,那么下面是分别对于这两类系统的配置。

1.pam_faillock redhat/centos/fedora

具体的pam配置在/etc/pam.d下,对ssh服务的位置是:/etc/pam.d/sshd,打开第一行就可以发现引入了password-auth:

然后可以直接编辑/etc/pam.d/password-auth,添加3行内容:

注意上面标出的这3行内容添加的位置,顺序不能错,否则将登录不上去,最好提前开一个会话不要断开防止登录失败,第一行位置在pam_env.so下面,第二行在sufficient下面,第三行在account required pam_unix.so下面,这3行内容文本如下:

auth        required                                     pam_env.so
# 添加的第一行
auth  required  pam_faillock.so preauth silent audit even_deny_root deny=6 unlock_time=180
# ....
auth        sufficient                                   pam_unix.so nullok try_first_pass
# 添加的第二行
auth  [default=die] pam_faillock.so authfail audit even_deny_root deny=6 unlock_time=180
# ...

account     required                                     pam_unix.so
# 添加的第三行
account required pam_faillock.so
# ...

注意启动even_deny_root表示对root用户也适用,否则只有普通用户有限制,修改完成之后保存并重启ssh服务生效:

systemctl restart sshd

重启后可以登录尝试,按照上面的限制如果超过6次登录错误会限制用户180秒,也就是3分钟,超过3分钟并且有用户登录成功错误数会被清零重新计数,使用faillock可以查看登录失败的统计信息:

# root用户
faillock --user root

可以看到存在两次登录失败的记录,如果此时登录成功,那么记录会自动清除,管理员也可以手动reset:

faillock --user root --reset
# 再次查看就没有了
faillock --user root

这样被禁用的用户也可以再次登录了。

2.pam_tally2  debian/ubuntu

查看/etc/pam.d/sshd内容会看到引入了common-auth:

所以编辑对应的配置:/etc/pam.d/common-auth,直接在最头部添加下面内容:

auth  required  pam_tally2.so  deny=6 unlock_time=300 even_deny_root root_unlock_time=300

同样even_deny_root表示root用户也会限制,后面要单独配置root_unlock_time,这里都是300秒,可以看到这种方式配置比较简单,现在保存后,重启sshd服务即可生效:

systemctl restart sshd

查看登录失败统计和清除次数同样使用下面的命令:

pam_tally2 --user root
# 或者简写-u
pam_tally2 -u root
# 清除次数
pam_tally2 --user root --reset

上面的用法和faillock基本上一样。

另外centos 7.x同时支持faillock和pam_tally2的方式配置,正常只配置1种即可,注意配置的位置都是在/etc/pam.d/password-auth,按照pam_tally2方式配置也是在password-auth中配置,但是只在头部添加上面这1行内容即可,配置比较简单。

综上,就是faillock和pam_tally2这两种方式的配置,总体看pam_tally2这种方式比较简单好用,faillock比较严格一些,比如对于centos 7这两种方式都支持,那么正常按照pam_tally2配置就可以了,因为比较简单。
注意上面的配置都是对ssh登录方式前提下进行限制,如果是本地使用tty登录不影响,正常使用tty攻击方式也比较少见,如果配置需要通过/etc/pam.d/login来限制,这里不再详细叙述。
 
另外ssh还有个通用的配置就是连续尝试几次密码登录失败的话,可以直接断开数据包,这样也可以防止连接一次后不断尝试,编辑配置文件:/etc/ssh/sshd_config,修改下面配置:
MaxAuthTries 3

表示最大重试次数为3,超过就会断开连接,同样保存后重启ssh服务即可生效,再次尝试超过3次连接就会被断开了:

以上就是ssh安全防护方面常用到的一些配置。

posted @ 2021-05-11 15:15  小得盈满  阅读(778)  评论(0编辑  收藏  举报