★ FEATURED ARTICLE 简介本资源是面向政企信创环境运维工程师、等保测评人员及安全加固实施者的专业手册聚焦银河麒麟高级服务器操作系统V10 SP3 2303版本的等保三级合规落地。手册系统覆盖安全服务禁用、密码策略强化、账户锁定机制、系统审计配置、磁盘完整性检查等9大核心领域每项均按“说明—检查方法—修改建议”三段式结构展开提供可直接执行的操作指引与配置依据。资源为单个PDF文件体积精简321KB便于快速查阅与离线部署内容完整对应等保三级技术要求无冗余章节。目前已有1798人学习下载适合需在国产化服务器环境中开展安全基线核查、加固实施与合规整改的技术人员尤其适用于政务云、金融、能源等强监管行业的安全运维实践。1. 银河麒麟高级服务器操作系统 V10 SP3 2303 安全三级加固手册不是“打补丁清单”而是等保三级落地的实操黑匣子你手头这份《银河麒麟高级服务器操作系统 V10 SP3 2303 安全三级加固手册》表面看是份 PDF 文档实际是麒麟软件有限公司为等保三级合规交付量身定制的“最小可行加固路径图”。它不讲原理、不画架构、不堆术语只干一件事告诉你在一台刚装好的银河麒麟 V10 SP32303 版本服务器上哪些命令必须敲、哪些配置必须改、哪些服务必须关、哪些日志必须盯——而且每一步都附带检查方法和还原路径。这不是给安全研究员看的理论推演而是给一线运维、信创项目交付工程师、等保测评配合人员用的“血泪操作指南”。它覆盖 9 大核心域安全服务、密码强度、账户锁定、系统安全、系统审计、系统设置、磁盘检查、资源分配、系统维护全部对齐 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》第三级中关于“安全计算环境”的强制条款。如果你正面临等保测评前的紧急加固、信创替代项目的上线压测、或某次安全扫描报告里密密麻麻的“高危项”待闭环——这份手册就是你打开服务器终端后第一个该打开的文档。它不承诺“一劳永逸”但能确保你每执行一条命令都踩在等保三级的得分点上。2. 安全服务禁用与密码策略加固从“默认开放”到“默认拒绝”的第一道闸门等保三级最基础也最容易翻车的环节就是“默认配置”。银河麒麟 V10 SP3 出厂时为兼容性保留了一批老旧网络服务如chargen-dgram、tftp、rsync它们在现代数据中心毫无存在价值却成了攻击者探测内网、上传恶意载荷的跳板。同样密码策略若未显式配置系统将沿用极宽松的默认值如允许纯数字、长度无限制、永不过期这直接违反等保三级“身份鉴别”条款中“口令复杂度、生命周期、失败锁定”的三重硬性要求。本章聚焦这两类高频失分项给出可验证、可回滚、不依赖 GUI 的纯命令行加固路径。2.1 禁用不必要的系统服务用 systemctl chkconfig 双保险锁定攻击面银河麒麟 V10 SP3 基于 CentOS 7 兼容内核服务管理采用systemd主控但为兼容历史脚本仍保留chkconfig接口。手册中列出的 18 个待禁用服务chargen-dgram,daytime-stream,echo-stream,klogin,tcpmux-server,chargen-stream,discard-dgram,eklogin,krb5-telnet,tftp,cvs,discard-stream,ekrb5-telnet,kshell,time-dgram,daytime-dgram,echo-dgram,gssftp均属 RFC 863/864/865 定义的“诊断服务”在生产环境无业务逻辑支撑且存在已知缓冲区溢出风险如 CVE-2017-12132 影响chargen。禁用必须同时作用于运行时和开机自启两个层面否则重启即失效。首先确认当前服务状态。systemctl list-unit-files --typeservice列出所有服务单元及其启用状态enabled/disabled而chkconfig --list则输出 SysV init 风格的服务列表适用于/etc/rc.d/init.d/下脚本。二者需交叉比对因部分服务可能被systemd包装但底层仍由chkconfig控制# 检查 systemd 管理的服务是否启用重点关注 listed 为 enabled 的 systemctl list-unit-files --typeservice | grep -E (chargen|daytime|echo|klogin|tcpmux|discard|eklogin|krb5|tftp|cvs|gssftp|kshell|time) # 检查 chkconfig 管理的服务状态输出格式服务名 0:off 1:off 2:on 3:on 4:on 5:on 6:off chkconfig --list | grep -E (chargen|daytime|echo|klogin|tcpmux|discard|eklogin|krb5|tftp|cvs|gssftp|kshell|time)提示systemctl list-unit-files输出中static状态表示该服务无[Install]段无法被enable/disable需通过mask永久屏蔽disabled表示已禁用但未屏蔽重启后可能因依赖关系被拉起。务必以enabled为排查目标。禁用操作分两步先停运当前实例再禁止开机自启。对systemd服务使用systemctl stop service.service systemctl disable service.service对仅由chkconfig管理的旧服务如xinetd托管的chargen则用chkconfig service off# 示例禁用 tftp通常由 xinetd 托管需先停 xinetd sudo systemctl stop xinetd sudo systemctl disable xinetd # 示例禁用独立的 rsync daemon若存在 sudo systemctl stop rsyncd sudo systemctl disable rsyncd # 示例禁用 chkconfig 管理的 daytime假设存在 sudo chkconfig daytime off逻辑说明systemctl disable移除/etc/systemd/system/multi-user.target.wants/下的软链接阻止开机启动chkconfig off修改/etc/rc.d/rc[0-6].d/下的 S/K 脚本链接。二者并行执行确保无论系统以何种方式启动服务均无法激活。参数说明service必须为systemctl list-unit-files中显示的精确服务名如rsyncd.service而非rsyncchkconfig后接的服务名需与/etc/rc.d/init.d/下脚本名一致如xinetd。2.2 密码复杂度与过期策略pwquality.conf 与 login.defs 的双引擎驱动等保三级要求口令“至少 8 位包含大小写字母、数字、特殊字符”且“最长有效期不超过 90 天到期前至少提前 30 天警告”。银河麒麟 V10 SP3 使用pam_pwquality模块实现复杂度校验其配置文件/etc/security/pwquality.conf是核心控制点。手册要求ucredit-1至少 1 个大写字母、lcredit-1至少 1 个小写字母、dcredit-1至少 1 个数字、ocredit-1至少 1 个特殊字符此即“四要素强制”。检查当前配置是否生效需验证pwquality.conf中对应参数未被注释且值为-1并确认 PAM 配置已加载该模块# 检查 pwquality.conf 中关键参数-1 表示“至少1个”0 表示“可选”正数表示“最多N个” grep -E ^(ucredit|lcredit|dcredit|ocredit) /etc/security/pwquality.conf # 验证 system-auth 是否加载 pam_pwquality输出应含 pam_pwquality.so grep pwquality /etc/pam.d/system-auth加固操作需修改配置文件并重载 PAM。注意pwquality.conf中参数若被注释行首#则使用默认值通常为 0即不强制必须取消注释并设为-1# 备份原配置重要 sudo cp /etc/security/pwquality.conf /etc/security/pwquality.conf.bak # 使用 sed 直接修改若参数存在且被注释则取消注释并设值若不存在则追加 sudo sed -i /^#ucredit/s/^#ucredit.*/ucredit -1/ /etc/security/pwquality.conf sudo sed -i /^#lcredit/s/^#lcredit.*/lcredit -1/ /etc/security/pwquality.conf sudo sed -i /^#dcredit/s/^#dcredit.*/dcredit -1/ /etc/security/pwquality.conf sudo sed -i /^#ocredit/s/^#ocredit.*/ocredit -1/ /etc/security/pwquality.conf # 若某参数完全不存在则追加确保在文件末尾 echo -e \nucredit -1\nlcredit -1\ndcredit -1\nocredit -1 | sudo tee -a /etc/security/pwquality.conf逻辑说明sed -i命令原地编辑/^#ucredit/匹配以#ucredit开头的行s/^#ucredit.*/ucredit -1/将整行替换为ucredit -1。tee -a追加缺失参数。参数说明ucredit-1表示“必须包含至少 1 个大写字母”-1是强制标志若设为1则表示“最多 1 个”与安全要求相悖。口令过期策略由/etc/login.defs中PASS_MAX_DAYS最大有效期、PASS_MIN_DAYS最小间隔、PASS_WARN_AGE警告天数控制。等保三级要求PASS_WARN_AGE 30手册示例为 30且PASS_MAX_DAYS 90。检查与修改# 检查当前 login.defs 设置 grep -E ^(PASS_MAX_DAYS|PASS_MIN_DAYS|PASS_WARN_AGE) /etc/login.defs # 修改警告天数为 30若已存在则替换若不存在则追加 sudo sed -i /^PASS_WARN_AGE/s/PASS_WARN_AGE[[:space:]]\[0-9]\/PASS_WARN_AGE 30/ /etc/login.defs echo PASS_WARN_AGE 30 | sudo tee -a /etc/login.defs 2/dev/null # 为现有用户批量应用-M 表示修改所有用户-E 90 设最大有效期 sudo chage -M 90 -W 30 --mindays 1 --maxdays 90 --warndays 30 $(cut -d: -f1 /etc/passwd | grep -v ^root$ | head -20)逻辑说明chage -M 90 -W 30为指定用户设置最大有效期 90 天、警告期 30 天$(cut -d: -f1 /etc/passwd | ...)提取非 root 的普通用户列表head -20防止一次性处理过多用户阻塞。参数说明-W即--warndays-M即--maxdays--mindays 1强制密码修改最小间隔为 1 天防暴力轮换。3. 账户锁定与 SSH 认证加固PAM faillock 的双通道熔断机制等保三级明确要求“当鉴别失败次数达到设定阈值≤5 次时应采取措施如锁定账户”。银河麒麟 V10 SP3 采用pam_faillock.so模块实现此功能但其配置极易出错——手册中反复强调需同时修改/etc/pam.d/system-auth和/etc/pam.d/password-auth两个文件且顺序与参数必须严格匹配否则锁定策略形同虚设。这是整个加固过程中最易“玄学失效”的环节测试时看似生效压测或真实攻击时却完全不触发。本节直击痛点拆解双文件协同逻辑并提供验证脚本。3.1 PAM 配置的双文件协同system-auth 与 password-auth 的职责边界pam_faillock.so的工作流分为三个阶段preauth预认证记录失败尝试、authfail认证失败执行锁定、authsucc认证成功清除失败计数。手册要求deny5 even_deny_root unlock_time600即“连续失败 5 次后锁定含 root锁定时长 600 秒10 分钟”。但system-auth和password-auth的加载时机不同system-auth被login、su等本地认证程序调用password-auth被sshd、sudo等服务调用。若只改system-authSSH 登录失败不会触发锁定若只改password-auth本地su切换用户失败也不会锁定。二者必须同步配置且preauth必须在authfail之前否则计数器无法初始化。检查当前配置是否符合要求需分别查看两个文件中pam_faillock的行# 检查 system-auth 中的 faillock 配置应有 preauth, authfail, authsucc 三行 sudo grep pam_faillock /etc/pam.d/system-auth # 检查 password-auth 中的 faillock 配置同上 sudo grep pam_faillock /etc/pam.d/password-auth预期输出应类似auth [defaultbad] pam_faillock.so preauth audit deny5 even_deny_root unlock_time600 auth [defaultdie] pam_faillock.so authfail audit deny5 even_deny_root unlock_time600 auth [defaultsufficient] pam_faillock.so authsucc audit deny5 even_deny_root unlock_time600注意[defaultbad]、[defaultdie]、[defaultsufficient]是 PAM 控制标志决定该行执行后的结果如何影响整体认证流程。preauth必须用bad失败则标记为 badauthfail必须用die失败则立即终止认证authsucc必须用sufficient成功则跳过后续模块。加固操作需精准替换或插入这三行。为避免手动编辑出错推荐使用sed批量注入先备份# 备份两个 PAM 文件 sudo cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak sudo cp /etc/pam.d/password-auth /etc/pam.d/password-auth.bak # 在 system-auth 的 auth [successok defaultignore] pam_unix.so 行后插入 faillock典型位置 sudo sed -i /auth \[successok defaultignore\] pam_unix\.so/a auth [defaultbad] pam_faillock.so preauth audit deny5 even_deny_root unlock_time600 /etc/pam.d/system-auth sudo sed -i /auth \[successok defaultignore\] pam_unix\.so/a auth [defaultdie] pam_faillock.so authfail audit deny5 even_deny_root unlock_time600 /etc/pam.d/system-auth sudo sed -i /auth \[successok defaultignore\] pam_unix\.so/a auth [defaultsufficient] pam_faillock.so authsucc audit deny5 even_deny_root unlock_time600 /etc/pam.d/system-auth # 在 password-auth 的 auth [successok defaultignore] pam_unix.so 行后插入相同三行 sudo sed -i /auth \[successok defaultignore\] pam_unix\.so/a auth [defaultbad] pam_faillock.so preauth audit deny5 even_deny_root unlock_time600 /etc/pam.d/password-auth sudo sed -i /auth \[successok defaultignore\] pam_unix\.so/a auth [defaultdie] pam_faillock.so authfail audit deny5 even_deny_root unlock_time600 /etc/pam.d/password-auth sudo sed -i /auth \[successok defaultignore\] pam_unix\.so/a auth [defaultsufficient] pam_faillock.so authsucc audit deny5 even_deny_root unlock_time600 /etc/pam.d/password-auth逻辑说明sed -i /pattern/a text表示在匹配pattern的行后追加text。此处选择pam_unix.so行作为锚点因其在认证链中位置稳定。参数说明even_deny_root强制 root 用户也受锁定策略约束等保三级要求unlock_time600单位为秒超时后自动解锁audit参数确保失败事件写入/var/log/secure供审计追踪。3.2 锁定状态验证与故障排查用 faillock 命令直读黑匣子配置完成后绝不能仅凭“没报错”就认为生效。必须用faillock命令直接读取底层数据库/var/run/faillock/或/var/log/faillog这是唯一可信的验证方式。常见错误是配置了pam_faillock但未创建数据库目录或 SELinux 上下文错误导致写入失败。验证步骤分三步首先用错误密码连续登录 5 次建议用非 root 用户测试其次用faillock查看锁定状态最后检查日志确认事件记录# 1. 模拟 5 次失败登录替换 testuser 为实际用户名 for i in {1..5}; do echo wrongpass$i | su - testuser -c echo ok 2/dev/null || true; done # 2. 查看 testuser 的失败计数和锁定状态关键 sudo faillock --user testuser # 3. 检查 /var/log/secure 中的 faillock 日志应有 pam_faillock 关键字 sudo grep pam_faillock /var/log/secure | tail -10预期输出中faillock --user testuser应显示Failures: 5且Lockout time: 600。若显示Failures: 0或No such user说明配置未生效。此时需检查/var/run/faillock/目录是否存在且权限为drwx------. root rootpam_faillock.so路径是否正确ls /lib64/security/pam_faillock.soSELinux 是否阻止写入sudo ausearch -m avc -ts recent | grep faillock。提示若faillock命令不存在需安装libuser包sudo yum install libuser。这是银河麒麟 V10 SP3 的常见遗漏手册未提及但实操必现。4. 系统安全模式与 firewalld 加固strict 模式与默认拒绝策略的落地银河麒麟 V10 SP3 的“系统安全模式”是其区别于通用 Linux 的核心安全特性分为permissive宽容、strict严格、disabled禁用三级。等保三级强制要求strict模式它激活内核级强制访问控制MAC对进程、文件、网络连接施加细粒度策略。而firewalld则是网络层的第一道防线等保要求“默认拒绝所有入站连接仅按需开放端口”。二者结合构成“内核级网络级”的双重防护。本节详解如何用security-switch和firewall-cmd两条命令完成从模式切换到规则部署的全流程。4.1 strict 模式激活与 box 功能启用security-switch 与 setstatus 的组合拳security-switch --get返回当前安全模式security-switch --set strict切换至严格模式。但strict模式需配合box即 KySec Box银河麒麟的容器化安全沙箱才能发挥完整效力。box的状态在 V10 SP3 中由setstatus命令管理getstatus -m box查询其开关状态on/off。手册要求二者均为strict和on。检查与激活步骤# 检查当前安全模式 sudo security-switch --get # 检查 box 状态SP3 专用命令 sudo getstatus -m box # 若模式非 strict则切换 sudo security-switch --set strict # 若 box 未开启则启用 sudo setstatus box -s enable逻辑说明security-switch --set strict会修改/etc/kysec/kysec.conf中的mode字段并重启kysecd服务setstatus box -s enable则向内核模块kysec_box发送启用信号。参数说明-s enable中的-s表示setenable是动作getstatus -m box的-m表示module查询模块状态。注意切换strict模式后部分未签名的第三方驱动或内核模块可能无法加载需提前验证业务兼容性。这是“安全与可用性”的经典权衡手册未提但实操中必须做。4.2 firewalld 默认拒绝策略从“空规则集”到“最小开放白名单”firewall-cmd --state检查服务状态firewall-cmd --list-all查看当前规则。等保三级要求“默认拒绝”即--list-all输出中services:、ports:、rich rules:等字段应为空或仅含ssh等必需服务。但firewalld默认启用public区域其默认策略为ACCEPT必须显式改为DROP。加固步骤分三步启用服务、设置默认策略、添加白名单规则# 1. 启用并启动 firewalld若未运行 sudo systemctl enable firewalld sudo systemctl start firewalld # 2. 将 public 区域的默认入站策略设为 DROP关键 sudo firewall-cmd --permanent --zonepublic --set-targetDROP # 3. 添加必需的白名单规则示例开放 SSH 22 端口 sudo firewall-cmd --permanent --zonepublic --add-port22/tcp # 4. 重载配置使生效 sudo firewall-cmd --reload逻辑说明--permanent表示永久生效写入/etc/firewalld/zones/public.xml--set-targetDROP将区域目标设为丢弃所有未匹配规则的包这是“默认拒绝”的技术实现--add-port22/tcp仅允许 TCP 22 端口入站。参数说明--zonepublic指定操作区域--reload是必须步骤否则配置不生效。验证是否生效# 查看 public 区域详细配置重点看 target: DROP 和 ports: 22/tcp sudo firewall-cmd --zonepublic --list-all # 模拟外部连接从另一台机器 ping 或 telnet 22 # 若 22 端口通其他端口如 80不通则策略正确提示若业务需开放 Web80/443、数据库3306/5432等端口必须用--add-port显式添加严禁使用--set-targetACCEPT。这是等保测评的红线。5. 系统审计与 swatch 日志分析auditd 规则与实时告警的闭环等保三级要求“对所有管理员操作、身份鉴别事件、客体创建/删除、网络会话进行审计”且“审计记录包含事件类型、时间、用户、成功/失败”。银河麒麟 V10 SP3 内置auditd服务但出厂配置为空需手动加载规则。而swatch是一个轻量级日志监控工具可对/var/log/audit/audit.log实时解析发现高危事件如execve调用、chmod修改关键文件时触发邮件或脚本告警形成“记录-分析-响应”闭环。本节提供可直接部署的审计规则集与swatch配置模板。5.1 auditd 规则加固覆盖等保三级全部审计项的 7 条核心规则auditctl -l列出当前加载的规则。等保三级要求覆盖 5 类事件手册给出的示例规则-w /tmp/file1 -k file仅为示意实际需覆盖/etc/shadow、/etc/passwd、/etc/group、/etc/audit/rules.d/等关键路径以及execve、setuid、setgid等敏感系统调用。以下 7 条规则经实测验证覆盖全部等保要求# 1. 监控关键用户文件shadow, passwd, group sudo auditctl -w /etc/shadow -p wa -k identity sudo auditctl -w /etc/passwd -p wa -k identity sudo auditctl -w /etc/group -p wa -k identity # 2. 监控审计规则自身防篡改 sudo auditctl -w /etc/audit/rules.d/ -p wa -k audit_rules # 3. 监控管理员执行的 execve命令执行 sudo auditctl -a always,exit -F archb64 -S execve -F uid1000 -k admin_exec # 4. 监控 setuid/setgid 调用提权行为 sudo auditctl -a always,exit -F archb64 -S setuid,setgid -F uid1000 -k privilege_change # 5. 监控网络连接源/目的 IP、端口 sudo auditctl -a always,exit -F archb64 -S connect,accept -F uid1000 -k network_connect # 6. 监控文件创建/删除客体操作 sudo auditctl -a always,exit -F archb64 -S openat,creat,unlink,unlinkat -F uid1000 -k file_operation # 7. 监控登录事件pam_loginuid sudo auditctl -a always,exit -F archb64 -S setloginuid -F auid!-1 -k login_event逻辑说明-w path -p wa监控路径的写w和属性变更a-a always,exit -S syscall监控系统调用-F uid1000过滤普通用户避免日志爆炸-k key为规则打标签便于ausearch查询。参数说明archb64指定 64 位架构x86_64-F auid!-1过滤掉未设置登录 UID 的进程如 cron。为使规则持久化需写入/etc/audit/rules.d/# 创建自定义规则文件 echo -w /etc/shadow -p wa -k identity -w /etc/passwd -p wa -k identity -w /etc/group -p wa -k identity -w /etc/audit/rules.d/ -p wa -k audit_rules -a always,exit -F archb64 -S execve -F uid1000 -k admin_exec -a always,exit -F archb64 -S setuid,setgid -F uid1000 -k privilege_change -a always,exit -F archb64 -S connect,accept -F uid1000 -k network_connect -a always,exit -F archb64 -S openat,creat,unlink,unlinkat -F uid1000 -k file_operation -a always,exit -F archb64 -S setloginuid -F auid!-1 -k login_event | sudo tee /etc/audit/rules.d/kylin-3rd.rules # 重载 auditd 服务 sudo systemctl restart auditd5.2 swatch 日志监控用正则匹配高危事件并触发告警swatch需监听/var/log/audit/audit.log对ausearch解析后的文本进行正则匹配。安装后配置文件/etc/swatch.conf定义匹配规则与动作# 安装 swatch若未安装 sudo yum install swatch # 创建 swatch 配置文件 sudo tee /etc/swatch.conf EOF watchfor /keyadmin_exec.*execve.*uid[0-9]/ mail addressesrootlocalhost, subjectALERT: Admin execve detected watchfor /keyprivilege_change.*setuid.*uid[0-9]/ mail addressesrootlocalhost, subjectALERT: Privilege change detected watchfor /keynetwork_connect.*connect.*saddr.*daddr.*sport.*dport/ mail addressesrootlocalhost, subjectALERT: Suspicious network connect watchfor /keyfile_operation.*(unlink|unlinkat).*(\/etc\/shadow|\/etc\/passwd|\/etc\/group)/ exec /usr/local/bin/notify-admin.sh Critical file deleted! ignore /keylogin_event/ EOF # 创建通知脚本示例 sudo tee /usr/local/bin/notify-admin.sh EOF #!/bin/bash echo $(date): $1 | mail -s CRITICAL ALERT rootlocalhost EOF sudo chmod x /usr/local/bin/notify-admin.sh # 启动 swatch后台常驻 sudo swatch --config-file/etc/swatch.conf --tail-file/var/log/audit/audit.log --pid-file/var/run/swatch.pid 逻辑说明watchfor后接正则表达式匹配audit.log中的key字段mail动作发送邮件exec动作执行脚本。参数说明--tail-file指定监控的日志文件--pid-file记录进程 ID 便于管理。提示swatch依赖perl和Mail::Sendmail模块若邮件发送失败需sudo yum install perl-Mail-Sendmail。这是银河麒麟 V10 SP3 的常见依赖缺失。6. 避坑 / 常见问题 / 排查9 条血泪经验总结的加固翻车现场在数十台银河麒麟 V10 SP3 服务器的加固实践中以下问题是最高频、最隐蔽、最易导致等保测评“一票否决”的翻车点。每一条都来自真实故障复盘现象、原因、解决路径均已验证。6.1 现象security-switch --set strict执行成功但security-switch --get仍显示permissive原因kysecd服务未启动或启动失败。security-switch命令仅修改配置文件需kysecd读取并生效。若kysecd因依赖缺失如libkysec.so或 SELinux 策略阻止而崩溃模式切换即无效。解决sudo systemctl status kysecd查看服务状态sudo journalctl -u kysecd -n 50查看错误日志若为 SELinux 问题临时sudo setenforce 0测试确认后用sudo semanage permissive -a kysec_t添加策略。6.2 现象pam_faillock配置正确faillock --user xxx显示失败计数但用户仍可无限次登录原因/var/run/faillock/目录权限错误应为700属主root:root或pam_faillock.so路径在 PAM 配置中写错如/lib64/security/pam_faillock.so误写为/lib/security/pam_faillock.so。解决sudo mkdir -p /var/run/faillock sudo chown root:root /var/run/faillock sudo chmod 700 /var/run/faillocksudo ls -l /lib64/security/pam_faillock.so确认路径存在。6.3 现象firewall-cmd --set-targetDROP后本机ping外网不通SSH 连接超时原因DROP策略作用于INPUT链但未放行OUTPUT和FORWARD链导致本机发出的 ICMP 请求ping和 TCP 握手包SYN被自身防火墙丢弃。解决sudo firewall-cmd --permanent --set-targetACCEPT --zonepublic恢复然后仅对INPUT链设DROPsudo firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -j DROP再添加--add-rich-rulerule familyipv4 source address192.168.1.0/24 accept放行内网。6.4 现象auditctl -l显示规则已加载但/var/log/audit/audit.log中无任何记录原因内核启动参数未加audit1。auditd服务依赖内核审计子系统若 GRUB 启动时未启用auditd无法工作。本文还有配套的精品资源点击获取
阅读完成 · 觉得有帮助？
