你的服务器真的安全吗？手把手教你用PAM模块给SSH登录上把“锁”（防暴力破解实战配置）
你的服务器真的安全吗？手把手教你用PAM模块给SSH登录上把"锁"
在数字化时代，服务器安全已成为每个运维工程师和开发者的必修课。想象一下，当你正在享受周末时光时，突然收到服务器告警——有人正在尝试暴力破解你的SSH登录。这种场景并非危言耸听，而是每天都在互联网的某个角落真实上演的安全威胁。本文将带你深入Linux系统的PAM机制，通过实战配置为你的SSH登录筑起一道坚固防线。
1. 理解PAM：Linux认证的基石
PAM（Pluggable Authentication Modules）是Linux系统中负责认证的核心框架，它通过模块化设计实现了灵活的身份验证机制。简单来说，PAM就像是一个智能门禁系统，可以自由组合不同的"验证关卡"。
PAM的核心优势：
- 模块化架构：可根据需求自由组合认证模块
- 集中管理：统一配置路径（
/etc/pam.d/目录） - 细粒度控制：支持auth、account、password、session四种验证类型
查看系统已安装的PAM模块：
ls /lib/x86_64-linux-gnu/security/ | grep pam_典型的PAM配置文件结构（以SSH为例）：
#%PAM-1.0 auth required pam_sepermit.so auth substack password-auth auth include postlogin account required pam_nologin.so account include password-auth password include password-auth session required pam_selinux.so close session required pam_loginuid.so session optional pam_console.so session required pam_selinux.so open2. 实战配置：用pam_tally2防御暴力破解
2.1 基础防护配置
编辑SSH的PAM配置文件：
sudo vim /etc/pam.d/sshd在文件开头添加以下内容（在#%PAM-1.0下方）：
auth required pam_tally2.so deny=5 unlock_time=1800 even_deny_root root_unlock_time=900 account required pam_tally2.so参数详解：
| 参数 | 说明 | 推荐值 |
|---|---|---|
| deny | 允许的最大失败尝试次数 | 3-5次 |
| unlock_time | 普通账户锁定时间（秒） | 600-1800 |
| even_deny_root | 是否限制root账户 | 建议开启 |
| root_unlock_time | root账户锁定时间（秒） | 300-900 |
2.2 验证配置效果
故意输入错误密码触发锁定：
ssh user@your_server # 连续输入错误密码5次后... Account locked due to 5 failed logins查看用户登录失败记录：
sudo pam_tally2 --user=username手动解锁被锁账户：
sudo pam_tally2 --user=username --reset3. 高级安全策略组合
3.1 密码复杂度策略
安装密码复杂度检查模块：
# Ubuntu/Debian sudo apt install libpam-pwquality # CentOS/RHEL sudo yum install pam_pwquality配置密码策略（编辑/etc/pam.d/common-password或/etc/pam.d/system-auth）：
password requisite pam_pwquality.so retry=3 minlen=12 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1密码策略参数：
minlen=12：最小长度12字符difok=3：新密码至少3个字符与旧密码不同ucredit=-1：至少1个大写字母lcredit=-1：至少1个小写字母dcredit=-1：至少1个数字ocredit=-1：至少1个特殊字符
3.2 双因素认证增强
安装Google Authenticator模块：
# Ubuntu/Debian sudo apt install libpam-google-authenticator # CentOS/RHEL sudo yum install google-authenticator配置PAM（在/etc/pam.d/sshd中添加）：
auth required pam_google_authenticator.so初始化配置：
google-authenticator # 按照提示操作，记得保存生成的应急代码修改SSH配置（/etc/ssh/sshd_config）：
ChallengeResponseAuthentication yes AuthenticationMethods publickey,keyboard-interactive4. 系统级加固措施
4.1 SSH配置优化
编辑SSH主配置文件：
sudo vim /etc/ssh/sshd_config推荐安全配置：
Port 2222 # 修改默认端口 PermitRootLogin no MaxAuthTries 3 LoginGraceTime 60 ClientAliveInterval 300 ClientAliveCountMax 0 AllowUsers your_username PasswordAuthentication no # 如果使用密钥认证4.2 防火墙配置
使用UFW限制SSH访问：
sudo ufw allow 2222/tcp sudo ufw enable或者使用iptables：
sudo iptables -A INPUT -p tcp --dport 2222 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT sudo iptables -A OUTPUT -p tcp --sport 2222 -m conntrack --ctstate ESTABLISHED -j ACCEPT sudo iptables -P INPUT DROP4.3 登录监控与告警
配置实时监控脚本（/usr/local/bin/ssh_monitor.sh）：
#!/bin/bash tail -f /var/log/auth.log | grep --line-buffered "Failed password" | while read line do echo "$(date) - SSH登录失败: $line" >> /var/log/ssh_failed.log # 发送邮件告警（需配置邮件服务） echo "$line" | mail -s "SSH登录告警" admin@example.com done设置开机启动：
sudo chmod +x /usr/local/bin/ssh_monitor.sh sudo crontab -e # 添加： @reboot /usr/local/bin/ssh_monitor.sh5. 故障排查与日常维护
5.1 常见问题解决
账户被意外锁定：
# 查看锁定状态 sudo pam_tally2 # 解锁特定用户 sudo pam_tally2 --user=username --resetPAM模块加载失败： 检查模块路径：
sudo ldd /lib/x86_64-linux-gnu/security/pam_tally2.so查看详细日志：
sudo tail -f /var/log/auth.log5.2 定期安全检查清单
每月检查：
- 审查
/var/log/auth.log - 更新所有安全补丁
- 检查用户账户权限
- 审查
每季度检查：
- 审计SSH密钥
- 更新PAM配置
- 测试备份恢复流程
应急响应：
# 立即封锁可疑IP sudo iptables -A INPUT -s 1.2.3.4 -j DROP # 禁用可疑账户 sudo usermod -L suspicious_user
在实际运维中，我曾遇到一个案例：某台服务器虽然配置了复杂的密码策略，但由于未限制尝试次数，攻击者通过分布式暴力破解最终获得了访问权限。这让我深刻认识到，服务器安全需要多层次、立体化的防御体系。