linux认证和防护机制
Posted
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了linux认证和防护机制相关的知识,希望对你有一定的参考价值。
第一章Tcp-Wrapper
一、Tcp_wrapper
1、独立守护进程(standalone)
类似独立经营的专卖店。
2、xinetd(非独立守护进程,超级进程)
类似大商场里面的专卖店。xinetd如果接受wrapper访问控制,那么里面的所有子进程都接受wrapper的控制。
3、tcp-wrapper的配置文件
/etc/hosts.allow
/etc/hosts.deny
注意:进程访问会先通过/etc/hosts.allow,如果有匹配规则就放行,然后检查hosts.deny进行检查如果有匹配就拒绝,如果没有就放行进入下一个默认规则,tcp_wrapper的默认规则就是放行。
4、语法格式
daemon_list:client_list[:options]
Daemon_list
使用服务程序的可执行文件名,通常在/usr/bin,/bin/等目录下。
多个daemon之间用逗号隔开。
ALL表示所有服务。
[email protected]表示当主机有多个ip地址时,可以对不同的ip地址访问采用不同的访问策略。
Client-list
直接指定具体ip地址的主机
使用network/mask的形式指定主机范围,格式必须是10.0.0.0/255.0.0.0的格式
使用主机名或FQDN名
all,表示所有
local,表示和本地主机在同一网段的主机
konwn,表示FQDN可以被解析的
unknown,表示主机名不能被解析的。
paranoid,正向和反向解析不匹配的
except,不包括,除。。。。之外。
实例:
Telnet服务不允许172.16.0.0/16访问,但允许172.16.100.200访问,其他客户端不受控制。
方法1:
/etc/hosts.allow
In.telnetd:172.16.100.200
/etc/hosts.deny
In.telnetd:172.16.
方法2:
/etc/hosts.deny
In.telnetd:172.16.EXCEPT 172.16.100.200
方法3:
/etc/hosts.allow
In.telnetd: ALL EXCEPT 172.16. EXCEPT 172.16.100.200
options:
spawn:启动一个日志追加功能。
deny:
allow:
sshd:192.168.1.89 EXCEPT 192.168.1.: spawn echo ‘somebody enter `who`‘>>/var/log/tecwrapper.log
~
tcp_wrapper宏:
%c:客户端信息([email protected])
%s:服务器端信息([email protected])
%h:客户端主机名
%p:服务器端PID
通过以下命令获取详细信息:
[[email protected]~]$man 5 hosts_access
二、Xinetd
1、配置文件/etc/xinetd.conf
全局配置文件,对片段配置文件都生效。
可以将xinetd的日志文件单独定义到一个独立文件中,使用FILE /var/log/xinetd.log的形式。
服务配置段,通过service开头并定义。
# Define general logging characteristics.
log_type = SYSLOG daemon info使用FILE/var/log/xinetd.log的形式定义日志到独立的文件中。info表示日志记录级别。
log_on_failure = HOST记录登录失败时记录的信息为主机信息。
log_on_success = PID HOST DURATION EXIT记录登录成功的信息包括PID,主机名,登录时长,退出时间。
通过man xinetd.conf查看配置文件使用方法。
2、片段/etc/xinetd.d/*
# default: off
# description: The rsync server is a good addition to an ftp server, as it \
# allows crc checksumming etc.
service rsync要和文件名相同
{
disable = yes是否启用,yes是禁用
flags = IPv6
socket_type = stream套接字类型,常用的是tcp/udp/rpc三种。stream表示tcp,dgram表示udp。
wait = no是否等待进程完成,适用于tcp套接字。
user = root
server = /usr/bin/rsync
server_args = --daemon
log_on_failure += USERID在原有赋值的基础上,增加新的值。
log_type= FILE /var/log/rsync.log
}
~
~
扩展知识:
访问控制:
only_from = :允许哪些地址访问
ip:10.10.10.10
network= 10.10.10.0/24,10.10.10.0/255.255.255.0
hostname:www.dtedu.com
domain:www.dtedu.com
no_access = 拒绝哪些地址访问
access_time = 设置访问时间范围,hh:mm-hh:mm
bind = 设置主机监听的地址,当一台主机有多个ip地址时,可以设置提供服务的在那个地址上。
cps = 第一个参数设置每秒钟连接进来的最大数量,当超过最大连接数时会暂停提供服务,第二个参数定义暂停时间长度。
per_source = 用来设置一个单独ip地址最大并发连接请求。
instances = 用来定义当前服务最大提供能力,通常为连接数
service_args = 用来设置默认启动服务时,附加的参数
banner = 用来定义连接进来时提供的标语信息,可以指定一个文件。
知识点:系统日志记录是通过syslogd这个程序来完成的,它生成两个进程syslogd和klogd,这个是早期的进程,后来系统日志通过rsyslog进行管理,生成的进程只有rsyslogd一个了。
[[email protected]~]$service rsyslog status
rsyslogd (pid 1280) is running...
提供rpc服务的是portmap应用程序。
第二章authentication(认证)
验证一个客户端的用户名和密码是否能通过检验。那么这个验证的数据库必然在验证方。
一、用户名认证原理
在计算机中,能够识别的并非是我们输入的用户名,而是UID,GID,就像是主机名对应一个ip地址,一个服务对应一个端口一样。需要一种名称转换机制,这里就称为名称解析。这个解析需要一个数据库或表来完成,常见的有dns、/etc/hosts、mysql、nis、ldap。
在计算机系统中,我们常见的登录服务、ftp服务等都要涉及到用户身份验证,比如登录会调用一个login的程序,由这个程序来验证用户身份,当用户输入用户名时,要转换成UID,需要名称解析库那么有那么多的名称解析库用哪个呢?这里使用的是/etc/passwd,而如果另一个服务也要验证可能调用的就是另一个库了,这样纷杂的情况会给程序带来很大设计压力,所以就在app和名称解析之间有了一个中间件-nsswitch。
那么程序在进行用户名认证的时候使用了nssswitch,nsswitch要调用具体的数据库文件,就需要一个“解析的过程”,这个就由/usr/lib下的库文件来完成。
[[email protected]~]$ls /usr/lib64/ |grep nss
libnss3.so
libnssckbi.so
libnss_compat.so
libnssdbm3.chk
libnssdbm3.so
libnss_dns.so
libnss_files.so
libnss_hesiod.so
libnss_nisplus.so
libnss_nis.so
libnsspem.so
libnsssysinit.so
libnssutil3.so
nsswitch
配置文件位置:/etc/nsswitch.conf
配置讲解:
success:服务ok,名称解析ok
notfound:服务ok,名称解析fail
unavail:服务fail
tryagain:
默认是在首个库解析成功后就返回信息,否则没有找到就继续
passwd:nis [NOTFOUND=return] files
表示如果对passwd验证的时候,首先进行nis解析,如果nis没有解析出来就不再从files中解析了,只有当nis服务不可用的时候才从files中解析。
小工具:
getent,用来验证通过nsswitch进行配置后,当解析时是否从指定的库中进行解析的。比如:
验证nsswitch中的hosts是否是从/etc/hosts文件进行验证。
[[email protected]~]$getent hosts
127.0.0.1 localhost localhost.localdomain localhost4 localhost4.localdomain411
10.40.0.225 node5.dtedu.com node5
192.168.1.11 ms.dtedu.com ms
10.40.0.226 node6.dtedu.com node6
127.0.0.1 localhost localhost.localdomain localhost6 localhost6.localdomain6
只验证其中的一个信息:
[[email protected]~]$getent hosts node5.dtedu.com
10.40.0.225 node5.dtedu.com node5
认证和名称解析是两套完全独立的运行机制,认证过程的密码验证是通过对密码进行md5计算后生成校验码然后和系统内部shadow中保存的md5验证码进行对比来验证密码正确性的。
二、密码认证原理
1、密码的认证机制有多种手段,主要包括:
1、md5认证,就是前面说的通过/etc/shadow的验证方法。 pam_unix.so
2、直接查看密码的验证方式。
3、ldap验证pam_winbind.so
4、nis验证
5、kerberos验证
2、同样对于密码认证的多样性,造成了也需要一个专门的中间件,来管理程序使用不同的认证方式,这个中间件就是PAM,它本身是一个framwork(框架),并不做真正的认证,只是提供认证的方法(库文件,/lib64/security)。
[[email protected]~]$ll /lib64/security/
总用量 732
-rwxr-xr-x. 1 root root 18552 10月 15 2014 pam_access.so
-rwxr-xr-x. 1 root root 7504 12月 7 2011 pam_cap.so
-rwxr-xr-x. 1 root root 10272 10月 15 2014 pam_chroot.so
-rwxr-xr-x. 1 root root 27080 10月 15 2014 pam_console.so
-rwxr-xr-x. 1 root root 14432 10月 15 2014 pam_cracklib.so
3、配置文件/etc/pam.d/*
[[email protected]~]$ls /etc/pam.d/
chfn login runuser su
chsh newrole runuser-l sudo
config-util other smartcard-auth sudo-i
crond passwd smartcard-auth-ac su-l
cvs password-auth smtp system-auth
fingerprint-auth password-auth-ac smtp.postfix system-auth-ac
fingerprint-auth-ac remote sshd
hbmgmtd run_init ssh-keycat
4、PAM(可插入式认证模块)
基本格式:Typecontrolmodule-path[module-arguments]
4.1type类型:
auth:用来检查认证密码是否匹配
acct:验证用户账户是否有效,就是匹配但不有效比如锁定。
password:验证密码修改时是否符合密码安全属性要求,比如长短,时间
session:会话验证
4.2control类型:
required:一票否决权,就是说自己这一关一定要通过,通过后其他关要不要检查自己不做决定。required必须都通过
requisite:真正意义上的一票否决权,没有一票肯定权。
sufficient:表示自己这一关如果通过了,就可以直接晋级过关了。不用检查后面的了。一票通过权,如果没有通过并没有否决权。
optional:可选项,通过就继续检查其他选项,错误就忽略。
include:
5、模块的用途
pam_unix模块,常规的登录检查模块,参数有nullok、shadow、md5
参考文件:The Linux-PAM System Administrators‘ Guide
二、authorization(授权)
验证一个用户是否拥有访问一个服务器提供的某项服务的能力。
以上是关于linux认证和防护机制的主要内容,如果未能解决你的问题,请参考以下文章