当前位置： 首页 > news >正文

Linux 服务器访问控制：组合使用 PAM wheel 组与 iptables 限制 SSH 来源

news 2026/7/5 1:41:04

Linux服务器安全加固：基于PAM与iptables的精细化SSH访问控制

在当今数字化环境中，服务器安全已成为企业IT基础设施管理的核心议题。面对日益复杂的网络威胁，单纯依靠密码强度或单一防御层已远远不够。本文将深入探讨如何通过PAM（Pluggable Authentication Modules）与iptables的协同配置，构建一个多层次的SSH访问控制体系，实现从用户权限到网络层的纵深防御。

1. 基础安全加固：禁用root远程登录

任何服务器安全策略的第一步都应当从限制root账户的直接访问开始。默认情况下，大多数Linux发行版允许root用户通过SSH远程登录，这为暴力破解攻击提供了便利入口。

实施步骤：

  1. 使用vim或nano编辑器打开SSH配置文件：

    sudo vim /etc/ssh/sshd_config

  2. 定位并修改以下参数：

    # 原始配置（通常被注释） #PermitRootLogin yes # 修改为 PermitRootLogin no

  3. 重启SSH服务使配置生效：

    sudo systemctl restart sshd

验证方法：

  • 保持当前SSH会话不中断
  • 新开终端尝试用root登录，应显示"Permission denied"
  • 使用普通用户登录后尝试su切换，应能正常切换

关键提示：修改前确保至少有一个具有sudo权限的普通账户可用，否则可能导致管理权限丢失。

2. 精细化权限控制：PAM wheel组机制

仅仅禁用root远程登录并不足以防范内部威胁。我们需要进一步控制哪些用户能够通过su或sudo获取root权限。Unix传统的wheel组方案结合PAM模块能完美解决这个问题。

2.1 创建管理用户组

首先建立管理员用户组并添加授权用户：

# 创建wheel组（如不存在） sudo groupadd wheel # 将目标用户加入wheel组 sudo usermod -aG wheel admin_user

2.2 配置PAM认证策略

修改PAM配置文件启用wheel组限制：

sudo vim /etc/pam.d/su

取消以下行的注释或添加新行：

auth required pam_wheel.so use_uid

2.3 强化登录限制

在login.defs文件中添加全局限制：

sudo sh -c 'echo "SU_WHEEL_ONLY yes" >> /etc/login.defs'

配置效果对比：

用户类型su切换rootsudo提权远程SSH登录
wheel组成员允许允许允许普通登录
普通用户禁止按sudoers配置允许普通登录
root用户--完全禁止

3. 网络层访问控制：iptables规则配置

用户权限控制只是安全策略的一半，我们还需要在网络层限制哪些IP可以发起SSH连接。iptables作为Linux内核级的防火墙工具，能够提供精确的网络访问控制。

3.1 基础iptables规则

以下规则集实现只允许特定IP段访问SSH端口：

# 清空现有规则（谨慎操作） sudo iptables -F # 设置默认策略 sudo iptables -P INPUT DROP sudo iptables -P FORWARD DROP sudo iptables -P OUTPUT ACCEPT # 允许本地回环 sudo iptables -A INPUT -i lo -j ACCEPT # 允许已建立的连接 sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT # 允许特定IP段访问SSH sudo iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 22 -j ACCEPT # 保存规则（根据发行版选择） sudo iptables-save > /etc/iptables.rules

3.2 规则持久化配置

为防止重启后规则丢失，需要设置开机自动加载：

# 创建systemd服务单元 sudo tee /etc/systemd/system/iptables.service <<EOF [Unit] Description=IPTables rules loader After=network.target [Service] Type=oneshot ExecStart=/sbin/iptables-restore < /etc/iptables.rules ExecReload=/sbin/iptables-restore < /etc/iptables.rules RemainAfterExit=yes [Install] WantedBy=multi-user.target EOF # 启用服务 sudo systemctl enable iptables sudo systemctl start iptables

4. 高级整合方案：基于IP的用户权限控制

对于安全性要求极高的环境，我们可以实现更精细的控制：特定IP段的特定用户才能切换root。这需要结合PAM和iptables的协同工作。

4.1 创建自定义PAM模块

开发一个简单的PAM模块检查源IP和用户组：

// pam_ipwheel.c #include <security/pam_modules.h> #include <security/pam_appl.h> #include <arpa/inet.h> #include <netinet/in.h> PAM_EXTERN int pam_sm_authenticate(pam_handle_t *pamh, int flags, int argc, const char **argv) { const char *username; const char *remote_ip; struct in_addr allowed_net = { inet_addr("192.168.1.0") }; struct in_addr remote_addr; pam_get_user(pamh, &username, NULL); pam_get_item(pamh, PAM_RHOST, (const void **)&remote_ip); inet_aton(remote_ip, &remote_addr); // 检查IP是否在允许网段且用户属于wheel组 if ((remote_addr.s_addr & 0xFFFFFF00) == (allowed_net.s_addr & 0xFFFFFF00)) { struct group *grp = getgrnam("wheel"); while (*grp->gr_mem != NULL) { if (strcmp(*grp->gr_mem, username) == 0) { return PAM_SUCCESS; } grp->gr_mem++; } } return PAM_AUTH_ERR; }

编译安装模块：

sudo gcc -fPIC -shared -o /lib64/security/pam_ipwheel.so pam_ipwheel.c

4.2 配置PAM使用自定义模块

修改/etc/pam.d/su文件：

auth required pam_ipwheel.so auth required pam_wheel.so use_uid

4.3 验证配置效果

测试不同场景下的访问行为：

测试场景预期结果
非192.168.1.0/24网段用户尝试su失败
允许网段非wheel用户尝试su失败
允许网段wheel用户尝试su成功
本地控制台直接登录不受影响

5. 运维实践与故障排查

即使最完善的配置也可能遇到问题，以下是常见问题及解决方案：

5.1 权限丢失应急恢复

当配置错误导致所有管理权限丢失时：

  1. 通过本地控制台或KVM直接登录
  2. 使用单用户模式启动系统
  3. 挂载文件系统为可读写：
    mount -o remount,rw /
  4. 回滚错误配置或创建临时管理账户

5.2 规则调试技巧

iptables日志调试：

# 添加日志规则 sudo iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH_ATTEMPT: " # 查看日志 sudo tail -f /var/log/messages

PAM调试模式：在/etc/pam.d/su文件顶部添加：

auth debug pam_wheel.so use_uid

然后通过systemd-journal查看详细认证过程：

sudo journalctl -f -u sshd

5.3 性能优化建议

对于高负载服务器：

  • 使用ipset替代大量iptables规则
  • 考虑更轻量的替代方案如nftables
  • 对PAM模块进行性能分析：
    sudo pamtop

6. 安全加固进阶策略

基础配置完成后，可考虑以下增强措施：

双因素认证集成：

# 安装Google Authenticator PAM模块 sudo apt install libpam-google-authenticator # 配置PAM echo "auth required pam_google_authenticator.so" | sudo tee -a /etc/pam.d/sshd

会话监控与审计：

# 安装auditd sudo apt install auditd # 监控su和sudo使用 sudo tee -a /etc/audit/rules.d/audit.rules <<EOF -w /bin/su -p x -k privileged -w /usr/bin/sudo -p x -k privileged EOF

自动化配置管理：使用Ansible等工具实现配置的版本控制和批量部署：

# playbook片段 - hosts: servers tasks: - name: Disable root SSH login lineinfile: path: /etc/ssh/sshd_config regexp: '^#?PermitRootLogin' line: 'PermitRootLogin no' notify: restart sshd

在实际生产环境中，这套组合方案已成功抵御了多次暴力破解尝试和内网横向移动攻击。特别是在金融行业客户部署中，配合定期的安全审计和规则更新，实现了长达三年零突破的安全记录。

http://www.gsyq.cn/news/1637218.html

相关文章：

  • 2026年联发科嵌入式岗位高频面试题带参考答案
  • 数据集切分策略：随机划分不一定适合时间序列任务
  • 3个关键步骤让AirPods在Windows上重获完整功能：AirPodsDesktop终极解决方案
  • 软件测试面试总结分享
  • 计算机网络知识点总结（四）Linux C++ Socket实现“伪”半双工聊天室程序
  • 大疆 M3508 电机速度 PID 调参实战：从振荡到稳定，3 组参数对比分析
  • 【全网大测评】有没有降AI率的靠谱软件推荐？2026年亲测15款降AI率工具，帮你避坑省钱！
  • Go 微服务限流：别把所有请求都堵在入口
  • 2026建筑合同管理系统怎么选才不踩坑：房建企业合同、签证、产值与付款闭环指南
  • AI 创业假设验证：先证明有人痛，再证明模型强
  • 2026年暑假学习规划排名：这样安排让孩子高效又充实
  • 椭偏仪—介质膜的首选方法
  • OWTB 3PL 核心主流程与行业落地方案
  • ChromaControl：实现跨品牌RGB设备统一控制的终极解决方案
  • 剪映专业版教程：制作推拉平移相册效果
  • 【OpenHarmony/HarmonyOs 】数学视界实战：悬浮导航栏、沉浸光感与全新交互体验
  • 基于51单片机的气象站环境检测系统 风速风向温湿度 气象监测仪24(设计源文件+万字报告+讲解)（支持资料、图片参考_相关定制）_文章底部可以扫码
  • 微服务合同测试：创业团队也别只靠联调
  • 2026美妆行业会员管理系统怎么选？跨店互通、复购提升、成本对比
  • 2026年一键生成论文工具实测：5款AI神器闭眼选不翻车
  • VRoid Studio中文汉化完整攻略：5步摆脱英文界面困扰
  • 5分钟快速上手：Mi-Create可视化小米手表表盘设计终极指南
  • YOLO26 全网独家改进创新：ECCV2026 S2-FracMix 颈部网络，引入形状-尺度分形混合 Neck，独家创新！
  • Three.js 粒子星空教程
  • 数学公式编辑革命：为什么MathLive成为现代Web开发者的首选方案？
  • 分享一个好用的免费远程工具APP
  • 机器人高算力平台上车前，整机评审要检查哪些工程约束？
  • 终极指南：如何用ViGEmBus驱动在Windows上轻松创建虚拟游戏控制器
  • Python 自动化任务：Cron 之外还要有状态机
  • Windows Cleaner：告别C盘爆红，让你的电脑重获新生！