System Operation & System Setting & System Software (系统操作 & 系统设置 & 系统软件) – Page 13

April 20, 2021February 15, 2022

[命令] Linux SSL 证书的生成（OpenSSL 版）

内容一：生成 SSL 证书
1.1 交互式生成 SSL 证书

# openssl req -nodes -newkey rsa:4096 -sha512 -keyout eternalcenter.com.key -out eternalcenter.com.csr

（补充：这里以同时生成长度 4096 位，加密格式为 512 的私钥 eternalcenter.com.key 和公钥 eternalcenter.com.csr 为例）

1.2 非交互式生成 SSL 证书

# openssl req -nodes -newkey rsa:4096 -sha512 -out eternalcenter.com.csr -keyout eternalcenter.com.key -subj "/C=CN/ST=Sichuan/L=Chengdu/O=Eternal Center/OU=Mingyu Zhu/CN=eternalcenter.com/emailAddress=contact@mingyuzhu.com"

（
补充：这里以同时生成
1) 长度为 4096 位
2) 加密格式为 512
3) 国家为 CN
4) 州或省为 Sichuan
5) 城市为 Chengdu
6) 组织为 Eternal Center
7) 部门为 Mingyu Zhu
8) 域名为 eternalcenter.com
9) 邮箱地址为 contact@mingyuzhu.com
的私钥 eternalcenter.com.key 和公钥 eternalcenter.com.csr 为例
）

内容二：测试 SSL 证书

# openssl req -in eternalcenter.com.csr -noout -text

April 8, 2021December 26, 2021

[步骤] Linux 切换用户时图形变量的保持

步骤一：显示当前用户的图形变量

$ echo $DISPLAY
localhost:10.0

（补充：这里的图形变量参数是 localhost:10.0）

步骤二：切换到其他用户

$ su - root

（补充：这里以切换到 root 用户为例）

步骤三：使用上一个用户的图形变量

# export DISPLAY=localhost:10.0

（补充：这里以将图像变量设置为刚才看到的 localhost:10.0 为例）

步骤四：使用图形程序

# xclock

（补充：这里以使用 xclock 图形程序为例）

March 20, 2021April 29, 2022

[步骤] Linux SSH 输错密码次数的限制（pam_tally2.so 版）（openSUSE & SLE & CentOS Linux 7 & RHEL 7 版）

步骤一：在 /etc/pam.d/sshd 文件中配置 pam_tally2.so 模块的相关参数

# sed -i '/auth.*include.*common-auth/a auth        required    pam_tally2.so onerr=fail audit silent deny=15 unlock_time=3000 even_deny_root root_unlock_time=3000' /etc/pam.d/sshd

（
补充：
1) 这里的 pam_tally2.so 代表使用 pam_tally2.so 模块
2) 这里的 deny=15 代表输错 15 次后会禁止登陆
3) 这里的 unlock_time=3000 代表禁止登陆后 3000 毫秒后可以重新登陆
4) 这里的 even_deny_root 代表 root 用户也包括在其中
5）这里的 root_unlock_time=3000 代表禁止 root 用户登陆后 3000 毫秒后可以重新登陆
）

步骤二：在 /etc/pam.d/sshd 文件中添加使用 pam_tally2.so 模块的参数

# sed -i '/account.*include.*common-account/a account     required    pam_tally2.so' /etc/pam.d/sshd

（补充：这里的 pam_tally2.so 代表加载 pam_tally2.so 模块）

步骤三：远程登录密码输错次数的用户管理
3.1 查看某一个用户近期输错了几次密码

# pam_tally2 -u <user>

3.2 重制某一个用户登录密码输错次数

# pam_tally2 -u <user> -r --reset

March 5, 2021December 26, 2021

[步骤] Linux su 命令白名单的设置

步骤一：设置只能属于某一个组的用户才能使用 su 命令
1.1 CentOS&RHEL 设置只能属于某一个组的用户才能使用 su 命令

# sed -i '/auth.*include.*common-auth/a     auth     required       pam_wheel.so use_uid' /etc/pam.d/su

（补充：这里以设置只能 wheel 才能使用 su 命令为例）

1.2 openSUSE&SUSE 设置只能属于某一个组的用户才能使用 su 命令

# sed -i '/auth.*include.*common-auth/a     auth     required       pam_wheel.so use_uid' /etc/pam.d/su
# sed -i '/auth.*include.*common-auth/a     auth     required       pam_wheel.so use_uid' /etc/pam.d/su-l

（补充：这里以设置只能 wheel 才能使用 su 命令为例）

步骤二：将需要使用 su 命令的用户添加到可以使用 su 命令的组

# usermod -a -G wheel eternalcenter

（补充：这里以给 eternalcenter 用户添加 wheel 附属所属组为例）

步骤三：验证 su 命令白名单
3.1 以其他普通用户的身份使用 su 命令切换到其他用户

（步骤略）

（补充：就算密码正确也会显示 su: Authentication failure）

3.2 以在白名单用户的身份使用 su 命令切换到其他用户

# su - eternalcenter
$ su - root

March 5, 2021April 3, 2022

[步骤] GRUB2 Bootloader 密码的设置（CentOS Linux & RHEL 版）

步骤一：生成密码的 GRUB2 密码的 SHA512 值

# grub2-mkpasswd-pbkdf2
Enter password: 
Reenter password: 
PBKDF2 hash of your password is 
grub.pbkdf2.sha512.10000.
B857B79D02FF55CA3A69B8485C1A4A427424630C804CC8A89134520A34E056D7882A778F6BC8AD856CB95DF8B99BE25F9FEAD899D826BB3915FB20BAD682D10A.4A1CF49B7F815A0578031CCA2CE98C66BDFBEAB0AE2721531BB54AFC6CFFA990FBD9062F41C006376C283B717FEC1BD9BB1AFB882AF91B5F4A812459D7974D1F

（补充：这里以生成 eternalcenter 的 GRUB2 SHA512 值为例）

（注意：grub.pbkdf2.sha512.10000……. 后面的一长串字母和数字其实是一行，这里因为是显示问题所以看上去是多行）

步骤二：创建 GRUB2 密码文件
2.1 给 EFI 的 CentOS & RHEL 创建 GRUB2 密码文件

echo "GRUB2_PASSWORD=grub.pbkdf2.sha512.10000.B857B79D02FF55CA3A69B8485C1A4A427424630C804CC8A89134520A34E056D7882A778F6BC8AD856CB95DF8B99BE25F9FEAD899D826BB3915FB20BAD682D10A.4A1CF49B7F815A0578031CCA2CE98C66BDFBEAB0AE2721531BB54AFC6CFFA990FBD9062F41C006376C283B717FEC1BD9BB1AFB882AF91B5F4A812459D7974D1F" > /boot/efi/EFI/redhat/user.cfg

（
补充：
1) 登录用户 root
2) 登陆密码 eternalcenter
3) 这里的 grub.pbkdf2.sha512.10000.B857B…… 是由步骤一生成的
）

（注意：这里其实只有一行，因为是显示问题所以看上去是多行）

2.2 给 BIOS 的 CentOS & RHEL 创建 GRUB2 密码文件

echo "GRUB2_PASSWORD=grub.pbkdf2.sha512.10000.B857B79D02FF55CA3A69B8485C1A4A427424630C804CC8A89134520A34E056D7882A778F6BC8AD856CB95DF8B99BE25F9FEAD899D826BB3915FB20BAD682D10A.4A1CF49B7F815A0578031CCA2CE98C66BDFBEAB0AE2721531BB54AFC6CFFA990FBD9062F41C006376C283B717FEC1BD9BB1AFB882AF91B5F4A812459D7974D1F" > /boot/grub2/user.cfg

（
补充：
1) 登录用户 root
2) 登陆密码 eternalcenter
3) 这里的 grub.pbkdf2.sha512.10000.B857B…… 是由步骤一生成的
）

（注意：这里其实只有一行，因为是显示问题所以看上去是多行）

步骤三：测试 GRUB2 Bootloader 密码
3.1 重启系统

（步骤略）

3.2 进入到 GRUB2 Bootloader 模式

当启动系统时按下 “E” 键

补充：更改 GRUB2 的登陆用户
补充一：给 EFI 的 CentOS & RHEL 更改 GRUB2 的登陆用户

# echo <user> > /boot/efi/EFI/redhat/user.cfg

补充二：给 BIOS 的 CentOS & RHEL 更改 GRUB2 的登陆用户

# echo <user> > /boot/grub2/user.cfg

内容一：生成 SSL 证书1.1 交互式生成 SSL 证书