NSS Knowledge Base

pam_shield 是一个 PAM 模块，适用于所有使用 PAM 作认证的网络服务。此处示例在 CentOS 7 系统上进行，在其它操作系统上部署请自行修改相关命令。

• 从 https://github.com/jtniehof/pam_shield 下载源码
• 测试时使用了版本 0.9.6，链接为 https://github.com/jtniehof/pam_shield/archive/0.9.6.tar.gz
• 安装开发工具和依赖的库：yum install autoconf automake libtool gcc glibc-devel pam-devel
• 解压缩源码包 pam_shield-0.9.6.tar.gz
• 编辑 autogen.sh，移除两行结尾的 '-1.11'；或使用 sed -i 's/-1\.11$//' autogen.sh
• 运行：

  $ sh autogen.sh
  $ configure --sysconfdir=/etc --localstatedir=/var --disable-silent-rules --libdir='${prefix}/lib64' --with-slibdir=/usr/lib64
  $ make
  # make install

• 按照需要编辑配置档 /etc/security/shield.conf；例如配置为使用 iptables(8) 来阻止指定的主机：

  trigger_cmd /usr/sbin/shield-trigger-iptables

• 添加如下一行到需要启用保护的服务的 PAM 配置档的开始：

  auth       optional     pam_shield.so

例如要为 vsftpd(8) 启用保护，将此行加入配置档 /etc/pam.d/vsftpd。