概述:本文給出幾個通過自定義配置PAM提高網絡服務安全性的例子,希望對試圖進一步了解PAM的朋友起到拋磚引玉的作用。
實例一:系統使用proFTPd提供ftp服務,但是不希望任何用戶都可以訪問ftp服務,希望可以定義一個文件,只有在該文件中定義的用戶可以使用ftp服務。
通過分析需求,我們可以知道,也就是要實現基於用戶名的ftp服務的訪問控制。通過閱讀proftpd的文檔,我們可以發現,proftpd是完全支持PAM的。所以我們的實現的思路和步驟是這樣的:
首先,打開proftpd的PAM支持,也就是說,告訴proftpd用戶認證讓PAM去完成。這一點可以通過幾個proftpd的配置選項來實現,以下是我們的proftpd.conf配置文件的內容:
#/etc/proftpd.conf
ServerName "proftpd for real user"
ServerType standalone
DefaultServer on
ServerIdent off
Port 21
Umask 022
MaxInstances 3
User nobody
Group nobody
UseReverseDNS off
AuthPAM on
AuthPAMAuthoritative on
AuthPAMConfig ftp
DefaultRoot ~
AllowOverwrite on
我們對關於PAM的幾個選項作個說明:
AuthPAM:設置是否采用PAM用戶認證模塊進行用戶認證。
AuthPAMAuthoritative:是否使用PAM作為最終的用戶認證方法。
AuthPAMConfig:指定進行PAM認證時使用的配置文件名稱,PAM配置文件位於
/etc/pam.d/目錄下。
這樣設置以後,我們的proftpd就可以支持PAM認證方法了。
我們這樣定義/etc/pam.d/ftp文件:
[root@test /root]# more /etc/pam.d/ftp
#%PAM-1.0
auth required /lib/security/pam_listfile.so item=user sense=allow file
=/etc/ftpwho onerr=fail
auth required /lib/security/pam_pwdb.so shadow nullok
account required /lib/security/pam_pwdb.so
session required /lib/security/pam_pwdb.so
其中的pam_listfile.so模塊就是用來實現基於用戶的ftp控制。Item=user就表明是通過用戶名進行控制,sense=allow表示如果用戶名出現在/etc/ftpwho文件中就返回認證成功信息,file=/etc/ftpwho指定配置文件,onerr=fail表示如果出現某些錯誤(比如無法打開配置文件等)時返回的結果,這裡是失敗信息。關於pam_listfile模塊的詳細資料,可以參考解決方案中的“常見的PAM認證模塊簡介”系列文章。
然後,我們在/etc下建立ftpwho文件,並在其中加入可以進行ftp訪問的用戶名,要注意每個用戶占一行,之後重啟動proftpd,就可以根據這個配置文件通過用戶名來對ftp訪問進行控制了。
實例二:控制可以登錄系統的用戶,只有root可以從本地登錄,bye2000以及tom用戶可以從192.168.1.0網段登錄,其他用戶均不可以登錄系統。
修改/etc/pam.d/login文件如下所示:
root@test /root]# more /etc/pam.d/login
#%PAM-1.0
auth required /lib/security/pam_securetty.so
auth required /lib/security/pam_stack.so service=system-auth
auth required /lib/security/pam_nologin.so
account required /lib/security/pam_stack.so service=system-auth
account required /lib/security/pam_Access.so accessfile=/etc/login.conf
passWord required /lib/security/pam_stack.so service=system-auth
session required /lib/security/pam_stack.so service=system-auth
session optional /lib/security/pam_console.so
即,我們在原來的基礎上加入了以下這一條規則:
account required /lib/security/pam_access.so accessfile=/etc/login.conf
這條規則的意思時,我們使用pam_access模塊,通過配置文件/etc/login.conf來對用戶訪問進行控制,accessfile參數即指明了配置文件的完整路徑。
根據需求,我們的/etc/login.conf文件內容如下:
[root@test /root]# more /etc/login.conf
+:root:LOCAL
+:bye2000 tom:192.168.1.
-:ALL:ALL
該配置文件說明:
該文件的每一行由如下三個字段構成,中間使用冒號分割:
權限 : 用戶 : 來源
權限字段可以是”+”(即允許訪問),”-”(禁止訪問);
用戶字段可以是用戶名、組名以及諸如user@host格式的用戶名,ALL表示任何人,
具有多個值時,可以用空格分開。
來源字段可以是tty名稱(本地登錄時)、主機名、域名(以”.”開始),主機ip地址,網絡號(以”.”結束)。ALL表示任何主機,LOCAL表示本地登錄。
可以使用EXCEPT操作符來表示除了…之外。
所以:
+:root:LOCAL---表示root用戶可以從本地登錄。
+:bye2000 tom:192.168.1.---表示bye2000和tom可以從192.168.1.0/24網段telnet登錄。
-:ALL:ALL---表示拒絕其他任何人登錄。
關於pam_access模塊的詳細資料,可以參考解決方案中的“常見的PAM認證模塊簡介”系列文章。