# last | grep pts如果是 openSUSE & SLES 将以下内容：
# cat /var/log/messages | grep systemd-logind（注意：必须在 /etc/ssh/sshd_config 配置文档里设置了 LogLevel INFO 参数和 SyslogFacility AUTH 参数以后此方法才会有效）
如果是 Rocky Linux & CentOS Linux & RHEL：
# cat /var/log/secure | grep systemd-logind或者：
# cat /var/log/messages | grep systemd-logind（注意：必须在 /etc/ssh/sshd_config 配置文档里设置了 LogLevel INFO 参数和 SyslogFacility AUTH 参数以后此方法才会有效）
/etc/ssh/sshd_config# chown root:root /etc/ssh/sshd_config# chmod 640 /etc/ssh/sshd_configProtocol 2# sed -i 's/.*Protocol .*/Protocol 2/g' /etc/ssh/sshd_configIgnoreRhosts yes# sed -i 's/^.*IgnoreRhosts .*/IgnoreRhosts yes/g' /etc/ssh/sshd_configHostbasedAuthentication no# sed -i 's/.*HostbasedAuthentication .*/HostbasedAuthentication no/g' /etc/ssh/sshd_configPermitUserEnvironment no# sed -i 's/.*PermitUserEnvironment .*/PermitUserEnvironment no/g' /etc/ssh/sshd_configPermitRootLogin no# sed -i 's/.*PermitRootLogin .*/PermitRootLogin no/g' /etc/ssh/sshd_configPermitEmptyPasswords no# sed -i 's/.*PermitEmptyPasswords .*/PermitEmptyPasswords no/g' /etc/ssh/sshd_configSyslogFacility AUTH# sed -i 's/.*SyslogFacility .*/SyslogFacility AUTH/g' /etc/ssh/sshd_configLogLevel INFO# sed -i 's/.*LogLevel .*/LogLevel INFO/' /etc/ssh/sshd_configMaxAuthTries 5（补充：这里以设置最大尝试登录失败数是 5 次为例，如果此时尝试登录次数超过 2，则系统日志中会出现登录失败的记录）
# sed -i 's/.*MaxAuthTries .*/MaxAuthTries 5/g' /etc/ssh/sshd_config（补充：这里以设置最大尝试登录失败数是 5 次为例，如果此时尝试登录次数超过 2，则系统日志中会出现登录失败的记录）
LoginGraceTime 600或者：
LoginGraceTime 10m（补充：这里以设置 SSH 登录时密码输入的时间为 600 秒为例）
# sed -i 's/.*LoginGraceTime .*/LoginGraceTime 600/g' /etc/ssh/sshd_config或者：
# sed -i 's/.*LoginGraceTime .*/LoginGraceTime 10m/g' /etc/ssh/sshd_config（补充：这里以设置 SSH 登录时密码输入的时间为 600 秒为例）
X11Forwarding no# sed -i 's/.*X11Forwarding .*/X11Forwarding no/g' /etc/ssh/sshd_configAllowTcpForwarding no# sed -i 's/.*AllowTcpForwarding .*/AllowTcpForwarding no/g' /etc/ssh/sshd_configPrintMotd no或者：
PrintLastLog no# sed -i 's/.*PrintMotd .*/PrintMotd no/g' /etc/ssh/sshd_config或者：
# sed -i 's/.*PrintLastLog .*/PrintLastLog no/g' /etc/ssh/sshd_configMaxStartups 10:30:60（
补充：这里以
1) 最多同时只能让 10 个用户发起 SSH 登录请求，超过此数量的登录请求会被拒绝
2) 当 SSH 连接数超过上限时 （这里设置的是 10 个），再新发起 SSH 登录请求的用户，会有 30% 的概率被拒绝
3) 当 SSH 连接数超过 60 时，再新发起 SSH 登录请求的用户全部会被拒绝，这里的 30 参数将会无效
）
# sed -i 's/.*MaxStartups .*/MaxStartups 10:30:60/g' /etc/ssh/sshd_config（
补充：这里以
1) 最多同时只能让 10 个用户发起 SSH 登录请求，超过此数量的登录请求会被拒绝
2) 当 SSH 连接数超过上限时 （这里设置的是 10 个），再新发起 SSH 登录请求的用户，会有 30% 的概率被拒绝
3) 当 SSH 连接数超过 60 时，再新发起 SSH 登录请求的用户全部会被拒绝，这里的 30 参数将会无效
）
MaxSessions 4（补充：这里以设置每个连接可以开启 4 个会话为例，默认值为 10）
# sed -i 's/.*MaxSessions .*/MaxSessions 4/g' /etc/ssh/sshd_config（补充：这里以设置每个连接可以开启 4 个会话为例，默认值为 10）
ClientAliveInterval 100
ClientAliveCountMax 3（补充：这里以设置客户端 SSH 空闲超时时间为 100 * 3=300 秒为例）
# sed -i 's/.*ClientAliveInterval .*/ClientAliveInterval 100/g' /etc/ssh/sshd_config
# sed -i 's/.*ClientAliveCountMax .*/ClientAliveCountMax 3/g' /etc/ssh/sshd_config（补充：这里以设置客户端 SSH 空闲超时时间为 100 * 3=300 秒为例）
RhostsRSAAuthentication no# sed -i 's/.*RhostsRSAAuthentication .*/RhostsRSAAuthentication no/g' /etc/ssh/sshd_configForwardAgent no# sed -i 's/.*ForwardAgent .*/ForwardAgent no/g' /etc/ssh/sshd_configCiphers aes256-ctr,aes192-ctr,aes128-ctr（补充：这里以使用 aes256-ctr、aes192-ctr 和 aes128-ctr SSH Ciphers 加密算法为例）
# echo "Ciphers aes256-ctr,aes192-ctr,aes128-ctr" >> /etc/ssh/sshd_config（补充：这里以使用 aes256-ctr、aes192-ctr 和 aes128-ctr SSH Ciphers 加密算法为例）
MACs hmac-sha2-512,hmac-sha2-256（补充：这里以使用 hmac-sha2-512 和 hmac-sha2-256 SSH MACs 加密算法为例）
# echo "MACs hmac-sha2-512,hmac-sha2-256" >> /etc/ssh/sshd_config（补充：这里以使用 hmac-sha2-512 和 hmac-sha2-256 SSH MACs 加密算法为例）
KexAlgorithms ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256（补充：这里以使用 ecdh-sha2-nistp521、ecdh-sha2-nistp384、ecdh-sha2-nistp256 和 diffie-hellman-group-exchange-sha256 SSH KexAlgorithms 加密算法为例）
# echo "KexAlgorithms ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256" >> /etc/ssh/sshd_config（补充：这里以使用 ecdh-sha2-nistp521、ecdh-sha2-nistp384、ecdh-sha2-nistp256 和 diffie-hellman-group-exchange-sha256 SSH KexAlgorithms 加密算法为例）
# systemctl restart sshd（补充：内容二里的参数只有重启了 sshd 服务后才能生效）
作者：朱明宇
名称：批量检测指定用户是否可以登录本地服务器
作用：批量检测指定用户是否可以登录本地服务器
1. 在此脚本的分割线内写入相应的内容
2. 给此脚本添加执行权限
3. 执行此脚本
directorylist=”daemon bin sys adm uucp guest nobody lpd lp” #要被检测的用户
#!/bin/bash
####################### Separator ########################
directorylist="daemon bin sys adm uucp guest nobody lpd lp"
####################### Separator ########################
directorycheck=
for i in `echo $directorylist`
do
directorycheck="$directorycheck `cat /etc/passwd | egrep "^$i:" | egrep -v '/sbin/nologin|false|/bin/false' | awk -F: '{print $1}'`"
done
echo $directorycheck# vim /etc/pam.d/common-password-pc将以下内容：
......
password requisite pam_cracklib.so ......
......修改为：
......
password requisite pam_cracklib.so try_first_pass local_users_only enforce-for-root minlen=15 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 maxrepeat=5 retry=3 difok=3 remember=5
......并添加以下内容：
......
password requisite pam_pwhistory.so try_first_pass local_users_only enforce-for-root remember=5 use_authtok
password sufficient pam_unix.so sha512 shadow try_first_pass use_authtok remember=24 use_authtok（
补充：这里以
1) pam_cracklib.so 模块使用前 1 个模块从用户那里得到的密码 （try_first_pass）
2) 只作用于本地用户 （local_users_only）
3) 也作用于 root 用户 （enforce-for-root）
4) 密码最小长度为 15 个字符 （minlen=15）
5) 密码必须包含数字的个数 （dcredit=-1）
6) 密码必须包含大写字母的个数 （ucredit=-1）
7) 密码必须包含小写字母的个数 （lcredit=-1）
8) 密码必须包含特殊字符的个数 （ocredit=-1）
9) 最多只允许 5 个连续字符 （maxrepeat=5，如果是 0 则禁用该选项）
10) 3 次尝试错误密码后产生错误提示 （retry=3）
11) 新密码最多可以有 3 个字符和旧密码相同 （difok=3）
12) 新密码不能和最近用过的 24 个密码相同 （remember=24）
13) 使用 sha512 加密方法加密 （sha512）
为例
）
# vim /etc/security/pwquality.conf将部分内容修改如下：
......
minlen = 15
......
dcredit = -1
......
ucredit = -1
......
lcredit = -1
......
ocredit = -1
......
dictcheck = 1
......
usercheck = 1
......
maxrepeat = 5
......
retry = 3
......
difok = 3
......（
补充：这里以
1) 密码最小长度为 15 个字符 （minlen = 15）
2) 密码必须包含数字的个数 （dcredit = -1）
3) 密码必须包含大写字母的个数 （ucredit = -1）
4) 密码必须包含小写字母的个数 （lcredit = -1）
5) 密码必须包含特殊字符的个数 （ocredit = -1）
6) 密码不能包含字典 （dictcheck = 1）
7) 密码不能包含用户 （usercheck = 1）
8) 新密码不能和前 5 个老密码重复 （maxrepeat=5）
9) 3 次尝试错误密码后产生错误提示 （retry=3）
10) 新密码最多可以有 3 个字符和旧密码相同 （difok=3）
为例
）
# vim /etc/login.defs将以下内容：
......
ENCRYPT_METHOD ......
......修改为：
......
ENCRYPT_METHOD SHA512
......（补充：这里以使用 SHA512 哈希算法加密密码为例）
# vim /etc/pam.d/system-auth-ac将以下内容：
......
password requisite pam_pwquality.so ......
......
password requisite pam_pwhistory.so ......
......
password sufficient pam_unix.so
......修改为：
......
password requisite pam_pwquality.so try_first_pass local_users_only enforce-for-root minlen=15 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 maxrepeat=5 retry=3 difok=3 remember=24
......
password requisite pam_pwhistory.so try_first_pass local_users_only enforce-for-root remember=24 use_authtok
......
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=24
......（
补充：这里以
1) pam_pwquality.so 模块使用前 1 个模块从用户那里得到的密码 （try_first_pass）
2) 只作用于本地用户 （local_users_only）
3) 也作用于 root 用户 （enforce-for-root）
4) 密码最小长度为 15 个字符 （minlen=15）
5) 密码必须包含数字的个数 （dcredit=-1）
6) 密码必须包含大写字母的个数 （ucredit=-1）
7) 密码必须包含小写字母的个数 （lcredit=-1）
8) 密码必须包含特殊字符的个数 （ocredit=-1）
9) 最多只允许 5 个连续字符 （maxrepeat=5，如果是 0 则禁用该选项）
10) 3 次尝试错误密码后产生错误提示 （retry=3）
11) 新密码最多可以有 3 个字符和旧密码相同 （difok=3）
12) 新密码不能和最近用过的 24 个密码相同 （remember=24）
13) 使用 sha512 加密方法加密 （sha512）
为例
）
# vim /etc/pam.d/password-auth-ac将以下内容：
......
password requisite pam_pwquality.so ......
......
password requisite pam_pwhistory.so ......
......
password sufficient pam_unix.so
......修改为：
......
password requisite pam_pwquality.so try_first_pass local_users_only enforce-for-root retry=3 minlen=15 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 maxrepeat=5 difok=3 remember=24
......
password requisite pam_pwhistory.so try_first_pass local_users_only enforce-for-root remember=24 use_authtok
......
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=24
......（
补充：这里以
1) pam_pwquality.so 模块使用前 1 个模块从用户那里得到的密码 （try_first_pass）
2) 只作用于本地用户 （local_users_only）
3) 也作用于 root 用户 （enforce-for-root）
4) 密码最小长度为 15 个字符 （minlen=15）
5) 密码必须包含数字的个数 （dcredit=-1）
6) 密码必须包含大写字母的个数 （ucredit=-1）
7) 密码必须包含小写字母的个数 （lcredit=-1）
8) 密码必须包含特殊字符的个数 （ocredit=-1）
9) 最多只允许 5 个连续字符 （maxrepeat=5，如果是 0 则禁用该选项）
10) 3 次尝试错误密码后产生错误提示 （retry=3）
11) 新密码最多可以有 3 个字符和旧密码相同 （difok=3）
12) 新密码不能和最近用过的 24 个密码相同 （remember=24）
13) 使用 sha512 加密方法加密 （sha512）
为例
）
# vim /etc/security/pwquality.conf将部分内容修改如下：
......
minlen = 15
......
dcredit = -1
......
ucredit = -1
......
lcredit = -1
......
ocredit = -1
......
dictcheck = 1
......
usercheck = 1
......（
补充：这里以
1) 密码最小长度为 15 个字符 （minlen = 15）
2) 密码必须包含数字的个数 （dcredit = -1）
3) 密码必须包含大写字母的个数 （ucredit = -1）
4) 密码必须包含小写字母的个数 （lcredit = -1）
5) 密码必须包含特殊字符的个数 （ocredit = -1）
6) 密码不能包含字典 （dictcheck = 1）
7) 密码不能包含用户 （usercheck = 1）
为例
）
# vim /etc/login.defs将以下内容：
......
ENCRYPT_METHOD ......
......修改为：
......
ENCRYPT_METHOD SHA512
......（补充：这里以使用 SHA512 哈希算法加密密码为例）