Linux服务器PAM模块配置全攻略：保障系统安全的终极指南

2023年11月15日 Linux安全专家

一、PAM模块：Linux安全的守护神

PAM（Pluggable Authentication Modules）是Linux系统中负责认证的核心组件，它通过模块化的设计为系统提供了灵活且强大的认证机制。作为系统管理员，掌握PAM配置技巧是保障服务器安全的基本功。

你知道吗？ 90%的Linux服务器入侵事件都与不当的认证配置有关，而正确配置PAM可以有效预防75%以上的暴力破解攻击。

二、PAM配置文件结构解析

PAM配置文件通常位于/etc/pam.d/目录下，每个服务都有独立的配置文件。一个典型的PAM配置包含四个部分：

auth       required     pam_unix.so nullok_secure
account    required     pam_unix.so
password   required     pam_unix.so remember=5
session    required     pam_unix.so

2.1 PAM配置四要素

模块类型：auth/account/password/session
控制标志：required/requisite/sufficient/optional
模块路径：通常是.so文件
模块参数：可选的配置参数

三、实战：加固SSH服务的PAM配置

以最常见的SSH服务为例，我们来配置一个安全的PAM策略：

3.1 防止暴力破解

# /etc/pam.d/sshd 添加以下内容
auth required pam_tally2.so deny=5 unlock_time=1800
account required pam_tally2.so

这个配置会在5次失败尝试后锁定账户30分钟。

3.2 密码复杂度要求

password requisite pam_pwquality.so retry=3 minlen=12 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1

强制密码至少12个字符，且必须包含大小写字母、数字和特殊字符。

3.3 登录限制

auth required pam_access.so accessfile=/etc/security/access.conf

四、高级PAM技巧

4.1 双因素认证

结合Google Authenticator实现双因素认证：

auth required pam_google_authenticator.so

4.2 限制root登录

auth required pam_succeed_if.so user != root quiet

4.3 会话记录

session required pam_exec.so /usr/local/bin/log_session.sh

⚠️ 重要安全提示

修改PAM配置前，请确保：

保持至少一个活动的SSH会话
测试配置是否正确（使用pam_test工具）
备份原始配置文件

五、PAM排错指南

遇到问题时，可以检查：

/var/log/secure日志文件
使用strace跟踪PAM调用
临时启用debug参数

总结

通过本文的指导，您已经掌握了Linux PAM模块的核心配置技巧。记住，安全是一个持续的过程，定期审查和更新PAM配置是维护系统安全的关键。建议每月检查一次PAM配置，并关注最新的安全公告。

下一步行动： 立即检查您的服务器PAM配置，特别是SSH和sudo服务的设置！