限制登录Linux服务器的几种方式

在日常运维中,我们通常使用防火墙iptables跟firewalld的方式来实现访问控制,但在实际环境中,开启防火墙可能会对业务造成影响,所以以下整理了三种限制登录Linux服务器的几种方式。分别是修改TCP Wrappers服务访问控制、修改sshd_config配置文件、防火墙策略iptables跟firewalld。以上三种方式可以针对安全厂商做的漏洞白盒扫描,使用这三种方式,限制IP访问,就没办法扫描了,实现某种程度的漏洞规避。

一、通过修改TCP Wrappers服务访问控制来实现限制登录Linux

TCP Wrappers说明:

TCP_Wrappers工作在第四层(传输层)的安全工具,对有状态连接的特定服务进行安全检测并实现访问控制,对包含有libwrap.so库文件的程序就可以受TCP_Wrappers的安全控制。可以控制谁可以访问,常见的程序有rpcbind、mountd、vsftpd、sshd、telnet

Tcp_wrappers是红帽RHEL7系统中默认已经启用的一款流量监控程序、它能够根据来访主机地址与本机目标服务程序做允许或拒绝操作。换句话说,Linux系统中其实有两个层面的防火墙,第一种是基于TCP/IP协议的流量过滤防护工具,而Tcp_wrappers服务则是能够对系统服务进行允许和禁止的防火墙,从而在更高层面保护了Linux系统的安全运行。

1.这里以sshd服务为例,配置完成后,只允许配置允许的IP才能ssh连接本机服务器,其他IP拒绝

vi /etc/hosts.allow    #先编辑hosts.allow配置文件sshd:192.168.2.128     #添加允许的IP远程登录本机服务器,如果有多个不同网段的IP,可以以逗号隔开连续写或sshd:192.168.2.        #添加允许的2.0网段的IP远程登录本机服务器
限制登录Linux服务器的几种方式
vi /etc/hosts.deny     #编辑hosts.deny配置文件sshd:ALL               #拒绝所有所有IP远程登录本机服务器
限制登录Linux服务器的几种方式

不用重启,以上配置,配置完成后立即生效

测试:

限制登录Linux服务器的几种方式

以下这张是没配置TCP Wrappers服务访问控制前的ssh登录是可以登录的

限制登录Linux服务器的几种方式

配置了TCP Wrappers服务访问控制之后就无法登录了

限制登录Linux服务器的几种方式

注意!!!

TCP Wrappers服务访问控制策略的配置只限openssh6.7以前的版本,openssh 6.7以后版本不再支持TCP Wrappers。openssh6.7以后的版本配置TCP Wrappers服务访问控制策略是不生效的。

判断服务是否支持tcp_wrapper

判断某一个基于tcp协议的服务是否支持tcp_wrapper,要先判断它是否支持libwrap库

一般支持tcp_wrapper的服务有ssh、ftp、nfs、telnet等服务。也不一定全部都支持。只有查询到服务支持libwrap库,才可以被tcp_wrapper控制,才可以配置tcp_wrapper,否则配置了也不会生效。

ldd查询服务是否支持libwrap,什么都没显示的话就是不支持

ldd `which sshd` |grep libwrapldd `which vsftpd` |grep libwrap

支持的libwrap的截图

限制登录Linux服务器的几种方式

strings命令查看服务是否支持libwrap,什么都没显示的话就是不支持

strings `which sshd` |grep libwrapstrings `which vsftpd` |grep libwrap

支持libwrap的截图

限制登录Linux服务器的几种方式
限制登录Linux服务器的几种方式

二、修改sshd_config配置文件来实现限制登录Linux

vi   /etc/ssh/sshd_configALLowUsers         *@192.168.2.128       #添加允许登录的IP,*代表任意用户#DenyUsers         *@192.168.2.1         #拒绝登录的IP,与ALLowUsers二选一进行配置就可以了,*代表任意用户
限制登录Linux服务器的几种方式
systemctl restart sshd         #重启sshd服务
限制登录Linux服务器的几种方式

测试结果:

限制登录Linux服务器的几种方式
限制登录Linux服务器的几种方式

三、防火墙规则限制

firewalld

#firewalld防火墙默认是关闭的,需要设置开启自启,否则关闭服务器后,firewalld也会关闭systemctl enable firewalld     #开启防火墙systemctl restart firewalld    #重启防火墙systemctl status firewalld     #查看防火墙状态
限制登录Linux服务器的几种方式
#添加允许规则,放行指定IP访问服务器22端口firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.2.128/32" port protocol="tcp" port="22"  accept"#重载防火墙规则使其生效firewall-cmd --reload#查看防火墙规则firewall-cmd --list-all
限制登录Linux服务器的几种方式
限制登录Linux服务器的几种方式
#添加拒绝规则,拒绝指定IP访问服务器22端口firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.2.1/32" port protocol="tcp" port="22" drop"#重载防火墙规则使其生效firewall-cmd --reload#查看防火墙规则firewall-cmd --list-all
限制登录Linux服务器的几种方式
限制登录Linux服务器的几种方式

测试结果:

限制登录Linux服务器的几种方式
限制登录Linux服务器的几种方式
#删除防火墙规则firewall-cmd --permanent --remove-rich-rule="rule family="ipv4" source address="192.168.2.128/32" port protocol="tcp" port="22"  accept"firewall-cmd --permanent --remove-rich-rule="rule family="ipv4" source address="192.168.2.1/32" port protocol="tcp" port="22" drop"firewall-cmd --reloadfirewall-cmd --list-all
限制登录Linux服务器的几种方式

iptables

CentOS7默认的防火墙不是iptables,而是firewall

#先停止firewalld服务systemctl stop firewalld#禁用firewalld服务systemctl mask firewalld#如果没有安装iptables服务,需要先安装iptables-servicesyum install -y iptables-services#开启iptables,设置开机自启systemctl enable iptables #启动iptablessystemctl restart iptables #查看iptables的状态systemctl status iptables
限制登录Linux服务器的几种方式
限制登录Linux服务器的几种方式
#添加允许规则,放行指定的IP访问本机22端口iptables -A INPUT  -s 192.168.2.128 -p tcp --dport 22 -j ACCEPT#添加允许规则,允许本机访问22端口iptables -A INPUT -s 127.0.0.1 -p tcp --dport 22 -j ACCEPT#添加拒绝规则,拒绝其他所有IP访问本机22端口iptables -A INPUT -p tcp --dport 22 -j REJECT
限制登录Linux服务器的几种方式
#保存iptables规则service iptables save#查看iptables规则iptables -L -n
限制登录Linux服务器的几种方式

在iptables的INPUT链中默认有两条规则

  1. 允许所有IP访问服务器22端口(下图中的第四条规则)
  2. 拒绝其他所有访问(下图中的第五条规则)

以上配置完Iptables后会发现不生效,那是因为,iptables的防火墙规则默认是从上到下开始匹配生效的,因为写入的那3条规则是在,允许所有IP访问服务器22端口(第4条防火墙规则)和拒绝其他所有访问(第5条防火墙规则)的后面,先匹配的这两条,所以就不生效。

解决的办法有两个,1是将这第4、5条防火墙规则删掉,2是将写入的3条防火墙规则插入到4、5条防火墙规则的前面就可以生效了。

iptables -L -nvx --line-numbers    #查看iptables规则,并显示规则编号
限制登录Linux服务器的几种方式
  1. 删除4、5条防火墙规则
iptables -D INPUT 4     #删除INPUT中的第4条防火墙规则iptables -L -nvx --line-numbers  #查看iptables规则iptables -D INPUT 4     #再次删除INPUT中的第4条防火墙规则(原来的第5条防火墙规则)iptables -L -nvx --line-numbers   #再次查看iptables规则,这时候原来的第4、5条防火墙规则已经删除了
限制登录Linux服务器的几种方式
限制登录Linux服务器的几种方式

测试结果:

限制登录Linux服务器的几种方式
限制登录Linux服务器的几种方式

恢复iptables防火墙规则

#如果想把删除的Iptables规则恢复,如上面删除的4、5条防火墙规则,先停用iptables然后再重启防火墙规则,就可以恢复了systemctl  stop iptablessystemctl  status iptablessystemctl  restart iptablessystemctl status iptablesiptables -L -nvx --line-number  
限制登录Linux服务器的几种方式

这个时候,配置的规则就又失效了。

限制登录Linux服务器的几种方式

删除iptables规则

iptables -D INPUT 6iptables -D INPUT 7iptables -D INPUT 6iptables -L -nvx --line-numbers 
限制登录Linux服务器的几种方式
限制登录Linux服务器的几种方式

文章来源:https://www.cnaaa.net,转载请注明出处:https://www.cnaaa.net/archives/7412

(0)
杰斯的头像杰斯
上一篇 2023年2月27日 下午5:31
下一篇 2023年2月28日 下午5:16

相关推荐

  • 在 VMware 中安装 Kali Linux 系统的详细过程

    Kali Linux 是用于学习和练习黑客攻击和渗透测试的Linux发行版的不二之选。 而且,如果你经常捣鼓 Linux 发行版,出于好奇心,你可能已经尝试过它。 警告!本文介绍的内容仅供学习 Kali Linux 的安装,请勿使用 Kali Linux 进行任何非授权的行为。Kali Linux 应该用于在授权的情况下,对授权的目标进行合理的渗透测试,以了…

    2022年6月8日
    90000
  • LAMP环境下部署DiscuzQ

    一、安装Apachae yum安装Apache,并设置开机自启动 在网页浏览器输入ip地址,查看Apache是否正常 二、安装配置 MariaDB 执行以下命令,查看系统中是否已安装 MariaDB。 rpm -qa | grep -i mariadb       返回结果类似如下内容,则表示已存在 MariaDB。 &nbsp…

    2022年12月6日
    34100
  • ansible 用普通用户sudo 执行命令

    背景: linux 机器都禁止root用户远程直接登录,需要ansible切换用户来实现 配置 /etc/ansible/hosts [test] 192.168.55.65 ansible_ssh_user=vmuser ansible_ssh_pass=’112233′ ansible_become_pass=’778899′ 192.168.55.66…

    Linux系统 2023年2月6日
    45300
  • Centos7升级内核后无法启动解决办法:mpt[23]sas驱动问题

    entOS 7.* 从内核 3.10.0 升级到 5.*.*后,重启不了,原因是 Linux 内核 4.4.x 版本之后,dracut 命令生成的 initramfs 默认不会自动加载 mpt3sas 驱动模块。因为没有对应的驱动程序,所以识别不了系统盘 1. 查询3.10.0 initramfs的驱动 可以看到在3.10内核的时候是mpt2sas…

    2023年5月6日
    29600
  • Redis删除特定前缀key的优雅实现

    Redis中没有批量删除特定前缀key的指令,但我们往往需要根据前缀来删除,那么究竟该怎么做呢?可能你一通搜索后会得到下边的答案 直接在linux下通过redis的keys命令匹配到所有的key,然后调用系统命令xargs来删除,看似非常完美,实则风险巨大 因为Redis的单线程服务模式,命令keys会阻塞正常的业务请求,如果你一次keys匹配的数量过多或者…

    2023年1月17日
    34500

发表回复

您的电子邮箱地址不会被公开。 必填项已用 * 标注

在线咨询: QQ交谈

邮件:712342017@qq.com

工作时间:周一至周五,8:30-17:30,节假日休息

关注微信