RHEL4上如可对telnet进行user级限制

yongjian

原来在RHEL3上可以用pam.d/login来限制，RHEL4上好像不起作用了。

1. 
   
2. login:
   
3. #%PAM-1.0
   
4. auth       required     pam_securetty.so
   
5. auth       required     pam_stack.so service=system-auth
   
6. auth       required     pam_nologin.so
   
7. account    required     pam_stack.so service=system-auth
   
8. password   required     pam_stack.so service=system-auth
   
9. # pam_selinux.so close should be the first session rule
   
10. #session    required    pam_selinux.so close
    
11. session    required     pam_stack.so service=system-auth
    
12. session    optional     pam_console.so
    
13. # pam_selinux.so open should be the last session rule
    
14. #session    required    pam_selinux.so multiple open
    
15. auth       required     pam_access.so
    
16. account    required     pam_access.so
    
17. 
    
18. access.conf
    
19. # Disallow console logins to all but a few accounts.
    
20. #
    
21. #-:ALL EXCEPT wheel shutdown sync:LOCAL
    
22. #
    
23. # Disallow non-local logins to privileged accounts (group wheel).
    
24. #
    
25. #-:wheel:ALL EXCEPT LOCAL .win.tue.nl
    
26. #
    
27. # Some accounts are not allowed to login from anywhere:
    
28. #
    
29. #-:wsbscaro wsbsecr wsbspac wsbsym wscosor wstaiwde:ALL
    
30. #
    
31. # All other accounts are allowed to login from anywhere.
    
32. #
    
33. -:test:ALL
    

复制代码

按理test user从哪都不应该能登录，可是没用。

kissingwolf

把这句去掉，pam_access不支持auth 方式！
auth       required     pam_access.so

yongjian

Post by kissingwolf
把这句去掉，pam_access不支持auth 方式！
auth       required     pam_access.so

去掉了，可是还是一样，不管谁都能telnet...

hwtazl

Post by yongjian
去掉了，可是还是一样，不管谁都能telnet...

很久没有碰linux了.我记得在/etc(不知道是不是这个目录)/securety(也不知道有没有写对,反正是安全的意思了),在哪个文件里加入pts/0。这样别人好象就不能telnet你的机器了！

yongjian

Post by hwtazl
很久没有碰linux了.我记得在/etc(不知道是不是这个目录)/securety(也不知道有没有写对,反正是安全的意思了),在哪个文件里加入pts/0。这样别人好象就不能telnet你的机器了！

不过，我要实现的是可以对单个用户的管理，而不是阻止所有的。

arbor

把不希望能telnet的用户的shell设置为/bin/null

yongjian

Post by arbor
把不希望能telnet的用户的shell设置为/bin/null

那还是一刀砍。实现不了诸如ssh允许而telnet不允许的功能。