189 8069 5689
使用下面命令，查看系统是否含有pam_tally2.so模块，如果没有就需要使用pam_tally.so模块，两个模块的使用方法不太一样，需要区分开来。
成都创新互联服务项目包括博湖网站建设、博湖网站制作、博湖网页制作以及博湖网络营销策划等。多年来，我们专注于互联网行业，利用自身积累的技术优势、行业经验、深度合作伙伴关系等，向广大中小型企业、政府机构等提供互联网行业的解决方案，博湖网站推广取得了明显的社会效益与经济效益。目前，我们服务的客户以成都为中心已经辐射到博湖省份的部分城市，未来相信会继续扩大服务区域并继续获得客户的支持与信任！
编辑系统/etc/pam.d/system-auth 文件，一定要在pam_env.so后面添加如下策略参数：
上面只是限制了从终端su登陆，如果想限制ssh远程的话，要改的是/etc/pam.d/sshd这个文件，添加的内容跟上面一样！
编辑系统/etc/pam.d/sshd文件，注意添加地点在#%PAM-1.0下一行，即第二行添加内容
ssh锁定用户后查看：
编辑系统 /etc/pam.d/login 文件，注意添加地点在#%PAM-1.0的下面,即第二行，添加内容
tty登录锁定后查看：
编辑 /etc/pam.d/remote文件，注意添加地点在pam_env.so后面,参数和ssh一致
本文将向你介绍基本的 Linux 服务器安全知识。虽然主要针对 Debian/Ubuntu，但是你可以将此处介绍的所有内容应用于其他 Linux 发行版。我也鼓励你研究这份材料，并在适当的情况下进行扩展。
1、更新你的服务器
保护服务器安全的第一件事是更新本地存储库，并通过应用最新的修补程序来升级操作系统和已安装的应用程序。
在 Ubuntu 和 Debian 上：
$ sudo apt update sudo apt upgrade -y
在 Fedora、CentOS 或 RHEL：
$ sudo dnf upgrade
2、创建一个新的特权用户
接下来，创建一个新的用户帐户。永远不要以 root 身份登录服务器，而是创建你自己的帐户（用户），赋予它 sudo 权限，然后使用它登录你的服务器。
首先创建一个新用户：
$ adduser username
通过将 sudo 组（-G）附加（-a）到用户的组成员身份里，从而授予新用户帐户 sudo 权限：
$ usermod -a -G sudo username
3、上传你的 SSH 密钥
你应该使用 SSH 密钥登录到新服务器。你可以使用 ssh-copy-id 命令将 预生成的 SSH 密钥 上传到你的新服务器：
$ ssh-copy-id username@ip_address
现在，你无需输入密码即可登录到新服务器。
4、安全强化 SSH
接下来，进行以下三个更改：
禁用 SSH 密码认证
限制 root 远程登录
限制对 IPv4 或 IPv6 的访问
使用你选择的文本编辑器打开 /etc/ssh/sshd_config 并确保以下行：
PasswordAuthentication yes
PermitRootLogin yes
改成这样：
PasswordAuthentication no
PermitRootLogin no
接下来，通过修改 AddressFamily 选项将 SSH 服务限制为 IPv4 或 IPv6。要将其更改为仅使用 IPv4（对大多数人来说应该没问题），请进行以下更改：
AddressFamily inet
重新启动 SSH 服务以启用你的更改。请注意，在重新启动 SSH 服务之前，与服务器建立两个活动连接是一个好主意。有了这些额外的连接，你可以在重新启动 SSH 服务出错的情况下修复所有问题。
在 Ubuntu 上：
$ sudo service sshd restart
在 Fedora 或 CentOS 或任何使用 Systemd 的系统上：
$ sudo systemctl restart sshd
5、启用防火墙
现在，你需要安装防火墙、启用防火墙并对其进行配置，以仅允许你指定的网络流量通过。（Ubuntu 上的） 简单的防火墙 （UFW）是一个易用的 iptables 界面，可大大简化防火墙的配置过程。
你可以通过以下方式安装 UFW：
$ sudo apt install ufw
默认情况下，UFW 拒绝所有传入连接，并允许所有传出连接。这意味着服务器上的任何应用程序都可以访问互联网，但是任何尝试访问服务器的内容都无法连接。
首先，确保你可以通过启用对 SSH、HTTP 和 HTTPS 的访问来登录：
$ sudo ufw allow ssh
$ sudo ufw allow http
$ sudo ufw allow https
然后启用 UFW：
$ sudo ufw enable
你可以通过以下方式查看允许和拒绝了哪些服务：
$ sudo ufw status
如果你想禁用 UFW，可以通过键入以下命令来禁用：
$ sudo ufw disable
你还可以（在 RHEL/CentOS 上）使用 firewall-cmd ，它已经安装并集成到某些发行版中。
6、安装 Fail2ban
Fail2ban 是一种用于检查服务器日志以查找重复或自动攻击的应用程序。如果找到任何攻击，它会更改防火墙以永久地或在指定的时间内阻止攻击者的 IP 地址。
你可以通过键入以下命令来安装 Fail2ban：
$ sudo apt install fail2ban -y
然后复制随附的配置文件：
$ sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
重启 Fail2ban：
$ sudo service fail2ban restart
这样就行了。该软件将不断检查日志文件以查找攻击。一段时间后，该应用程序将建立相当多的封禁的 IP 地址列表。你可以通过以下方法查询 SSH 服务的当前状态来查看此列表：
$ sudo fail2ban-client status ssh
7、移除无用的网络服务
几乎所有 Linux 服务器操作系统都启用了一些面向网络的服务。你可能希望保留其中大多数，然而，有一些你或许希望删除。你可以使用 ss 命令查看所有正在运行的网络服务：（LCTT 译注：应该是只保留少部分，而所有确认无关的、无用的服务都应该停用或删除。）
$ sudo ss -atpu
ss 的输出取决于你的操作系统。下面是一个示例，它显示 SSH（sshd）和 Ngnix（nginx）服务正在侦听网络并准备连接：
tcp LISTEN 0 128 *:http *:* users:(("nginx",pid=22563,fd=7))
tcp LISTEN 0 128 *:ssh *:* users:(("sshd",pid=685,fd=3))
删除未使用的服务的方式因你的操作系统及其使用的程序包管理器而异。
要在 Debian / Ubuntu 上删除未使用的服务：
$ sudo apt purge service_name
要在 Red Hat/CentOS 上删除未使用的服务：
$ sudo yum remove service_name
再次运行 ss -atup 以确认这些未使用的服务没有安装和运行。
以上文章来源，欢迎一起交流讨论学习。
配置文件都放在/etc/dhcp目录下，主配置文件为dhcpd.conf
编写dhcpd.conf (可以复制dhcpd.conf.example模板文件来修改，也可以直接编辑dhcpd.conf)
## 1、拷贝示例文件覆盖原来的空文件。通过rpm -ql dhcp查看自己模板配置文件（不一定和我一样的版本）
cp /usr/share/doc/dhcp-4.2.5/dhcpd.conf.example /etc/dhcp/dhcpd.conf
## 2、预先处理，去掉 注释和空行，保留 生效语句，和可选语句。
sed -ri '/(^#[[:space:]]+|^#$|^$)/{d}' /etc/dhcp/dhcpd.conf
删除没用的那些行，保留内容如下：
主配置文件样板：
#ddns-update-style none;
#authoritative;
log-facility local7;
subnet 10.1.1.0 netmask 255.255.255.0 {
range 10.1.1.100 10.1.1.200; ##地址池
option domain-name-servers 202.96.128.166; ##DNS服务器地址
option domain-name "class点抗 "; ##域名
option routers 10.1.1.1; ##默认路由
option broadcast-address 10.1.1.255; ##广播地址
default-lease-time 300; ##默认租约时间
max-lease-time 7200; ##最大租约时间
}
注意：dhcp服务器必须要有一张网卡在10.1.1.0/24网络，并且它只会给这张网卡所在网络（广播域）主机分配ip。
Linux美国服务器操作系统提供了用户帐号、文件系统权限和系统日志文件等基本安全机制，系统管理员在配置这些安全机制时，如果操作不当会为系统埋下安全隐患，Linux系统在进行基本安全机制配置时有哪些需要注意的呢?
首先，用户账号的安全设置。用户账号是由用户名和用户口令组成。Linux美国服务器系统中，用户名默认存放在/etc/passwd文件中，口令则以加密的形式存放在/etc/shadow文件中，口令和相关信息在正常情况下由系统保护，只有超级用户和部分应用程序才能访问，但如果配置不当时，普通用户也能得到这部分信息，容易被有心者加以利用。
其次是Linux文件系统的安全设置。Linux系统有通过设置文件权限的文件安全机制，每一个Linux的文件或目录，都有所有者、用户组和其他人的使用权限三个属性，如果他人的使用权限被设置为允许SUID或者允许SGID时，程序会给进程赋予所有者的权限，如果被黑客发现并利用就会给系统造成危害。
在防范系统的安全隐患时，除了设置好系统的安全机制，还可以利用系统的日志文件来监控。Linux日志文件能记录整个操作系统的使用状况。有三种日志文件比较重要，系统管理员可合理利用：
1. /var/log/wtmp文件
记录当前和历史上登录到系统的用户的登录时间、地点和注销时间等信息。可以用last命令查看，若想清除系统登录信息，只需删除这个文件，系统会生成新的登录信息。
2. /var/log/lastlog文件
记录最后进入系统的用户的信息，包括登录的时间、登录是否成功等信息。这样用户登录后只要用lastlog命令查看一下/var/log/lastlog文件中记录的所用帐号的最后登录时间，再与自己的用机记录对比一下就可以发现该帐号是否被黑客盗用。
3. /var/log/secure文件
记录系统自开通以来所有用户的登录时间和地点，可以给系统管理员提供更多的参考。
原文来源网络，由Hostspace编辑部责任编辑