System Operation & System Setting & System Software (系统操作 & 系统设置 & 系统软件) – Page 43

April 27, 2021June 18, 2022

[内容] Linux 官方软件源链接列表（CentOS Linux 版）

内容一：CentOS 7 基础软件源列表

1.1 CentOS 7 基础软件源官方推荐链接列表

1.1.1 CentOS-7 – Base

http://mirror.centos.org/centos/7/os/x86_64/

1.1.2 CentOS-7 – Updates

http://mirror.centos.org/centos/7/updates/x86_64/

1.1.3 CentOS-7 – Extras

http://mirror.centos.org/centos/7/extras/x86_64/

1.1.4 CentOS-7 – Plus

http://mirror.centos.org/centos/7/centosplus/x86_64/

1.2 CentOS 7 基础软件源官方推荐链接列表

1.2.1 CentOS-7 – Base

http://mirrorlist.centos.org/?release=7&arch=x86_64&repo=os&infra=$infra

1.2.2 CentOS-7 – Updates

http://mirrorlist.centos.org/?release=7&arch=x86_64&repo=updates&infra=$infra

1.2.3 CentOS-7 – Extras

http://mirrorlist.centos.org/?release=7&arch=x86_64&repo=extras&infra=$infra

1.2.4 CentOS-7 – Plus

http://mirrorlist.centos.org/?release=7&arch=x86_64&repo=centosplus&infra=$infra

内容二：CentOS 8 基础软件源列表

2.1 CentOS 8 基础软件源官方链接列表

2.1.1 CentOS Linux 8 – BaseOS

http://mirror.centos.org/centos/8/BaseOS/x86_64/os/

2.1.2 CentOS-8 – Updates

http://mirror.centos.org/centos/8/AppStream/x86_64/os/

2.2 CentOS 8 基础软件源官方推荐链接列表

2.2.1 CentOS Linux 8 – BaseOS

http://mirrorlist.centos.org/?release=8&arch=x86_64&repo=BaseOS&infra=$infra

2.2.2 CentOS Linux 8 – AppStream

http://mirrorlist.centos.org/?release=8&arch=x86_64&repo=AppStream&infra=$infra

April 20, 2021July 9, 2023

[内容] Linux SSL 证书的生成（OpenSSL 版）

内容一：SSL 证书简介

1.1 SSL 证书包含的文件

KEY 私钥、CRT 公钥、PFX 公私钥、CSR 证书签名请求文件

1.2 SSL 证书包含的文件简介

1.2.1 KEY 私钥

KEY 私钥，放置在服务器上，属于机密文件，不能被其他人得到。可以是 PEM 或 DER 两种编码方式中的一种，这两种编码方式也可以相互转换。Linux 上通常使用 PEM，而 Windows 上通常使用 DER

1.2.2 CRT 公钥

CRT 公钥，放置在服务器上，可以被其它人得到。可以是 PEM 或 DER 两种编码方式中的一种，这两种编码方式也可以相互转换。Linux 上通常使用 PEM，而 Windows 上通常使用 DER

1.2.3 PFX 公私钥

PFX 同时包含公钥和私钥，放置在服务器上。在 Linux 上通常会分别使用 KEY 和 CRT 两个文件，而 Windows 会使用同时包含公钥和私钥的 PFX 文件

1.2.4 CSR 证书签名请求文件

CSR 全名 Certificate Signing Request，即证书签名请求文件。用于提供给证书供应商申请证书

内容二：生成 SSL 证书

2.1 生成 KEY 私钥

2.1.1 同时生成 KEY 私钥和 CSR 证书签名请求文件

2.1.1.1 交互式同时生成 KEY 私钥和 CSR 证书签名请求文件

# openssl req -nodes -newkey rsa:4096 -sha512 -keyout eternalcenter.com.key -out eternalcenter.com.csr

（补充：这里以同时生成长度 4096 位，加密格式为 512 的 KEY 私钥 eternalcenter.com.key 和 CSR 证书签名请求文件 eternalcenter.com.csr 为例）

（注意：后面还有国家、州或省、城市、组织、部门、域名和邮箱地址的信息需要输入此命令后手动填写）

2.1.1.2 非交互式同时生成 KEY 私钥和 CSR 证书签名请求文件

# openssl req -nodes -newkey rsa:4096 -sha512 -out eternalcenter.com.csr -keyout eternalcenter.com.key -subj "/C=CN/ST=Sichuan/L=Chengdu/O=Eternal Center/OU=Mingyu Zhu/CN=eternalcenter.com/emailAddress=contact@mingyuzhu.com"

（
补充：这里以同时生成
1) 长度为 4096 位
2) 加密格式为 512
3) 国家为 CN
4) 州或省为 Sichuan
5) 城市为 Chengdu
6) 组织为 Eternal Center
7) 部门为 Mingyu Zhu
8) 域名为 eternalcenter.com
9) 邮箱地址为 contact@mingyuzhu.com
的 KEY 私钥 eternalcenter.com.key 和 CSR 证书签名请求文件 eternalcenter.com.csr 为例
）

2.1.2 只生成 CSR 证书签名请求文件和 KEY 私钥

2.1.2.1 交互式只生成 CSR 证书签名请求文件和 KEY 私钥

# openssl req -nodes -newkey rsa:4096 -sha512 -keyout eternalcenter.com.key

（补充：这里以同时生成长度 4096 位，加密格式为 512 的 KEY 私钥 eternalcenter.com.key 和 CSR 证书签名请求文件 eternalcenter.com.csr 为例）

（注意：后面还有国家、州或省、城市、组织、部门、域名和邮箱地址的信息需要输入此命令后手动填写）

2.1.2.2 非交互式只生成 CSR 证书签名请求文件和 KEY 私钥

# openssl req -nodes -newkey rsa:4096 -sha512 -keyout eternalcenter.com.key -subj "/C=CN/ST=Sichuan/L=Chengdu/O=Eternal Center/OU=Mingyu Zhu/CN=eternalcenter.com/emailAddress=contact@mingyuzhu.com"

2.2 生成 CRT 公钥

# openssl rsa -in eternalcenter.com.key -out eternalcenter.com.crt -pubout -outform PEM

（补充：这里以使用 KEY 私钥 eternalcenter.com.key 生成 CRT 公钥 eternalcenter.com.crt 为例）

内容三：查看 SSL 证书

3.1 查看 KEY 私钥

# cat eternalcenter.com.key

（补充：这里以查看 KEY 私钥 eternalcenter.com.key 为例）

3.2 查看 CRT 公钥

# cat eternalcenter.com.crt

（补充：这里以查看 CRT 公钥 eternalcenter.com.crt 为例）

3.3 查看 CSR 证书签名请求文件

# openssl req -in eternalcenter.com.csr -noout -text

（补充：这里以查看 CSR 证书签名请求文件 eternalcenter.com.csr 为例）

April 8, 2021July 9, 2023

[步骤] Linux 切换用户时图形变量的保持

步骤一：显示当前用户的图形变量

$ echo $DISPLAY
localhost:10.0

（补充：这里的图形变量参数是 localhost:10.0）

步骤二：切换到其他用户

$ su - root

（补充：这里以切换到 root 用户为例）

步骤三：使用上一个用户的图形变量

# export DISPLAY=localhost:10.0

（补充：这里以将图像变量设置为刚才看到的 localhost:10.0 为例）

步骤四：使用图形程序

# xclock

（补充：这里以使用 xclock 图形程序为例）

March 20, 2021November 8, 2024

[步骤] Linux 密码的安全（SSH 输错密码次数的限制）（pam_tally2.so 版）（openSUSE & SLES 版）

正文：

步骤一：在 /etc/pam.d/sshd 配置文件中添加 pam_tally2.so 模块和相关参数

# vim /etc/pam.d/sshd

在此行：

......
auth        include     common-auth
......

下面添加：

......
auth        required    pam_tally2.so onerr=fail audit silent deny=15 unlock_time=3000 even_deny_root root_unlock_time=3000
......

在此行：

......
account     include     common-account
......

下面添加：

......
account     required    pam_tally2.so
......

或者：

# sed -i '/auth.*include.*common-auth/a auth        required    pam_tally2.so onerr=fail audit silent deny=15 unlock_time=3000 even_deny_root root_unlock_time=3000' /etc/pam.d/sshd; sed -i '/account.*include.*common-account/a account     required    pam_tally2.so' /etc/pam.d/sshd

（
补充：
1) 这里的 pam_tally2.so 代表使用 pam_tally2.so 模块
2) 这里的 silent 代表不会显示信息性的消息
3) 这里的 deny=15 代表输错 15 次后会禁止登录
4) 这里的 unlock_time=3000 代表禁止登录后 3000 毫秒后可以重新登录
5) 这里的 even_deny_root 代表 root 用户和其它用户一样会被锁住
6) 这里的 root_unlock_time=3000 代表禁止 root 用户登录后 3000 毫秒后可以重新登录
）

步骤二：用户登录失败的管理

2.1 查看某个用户近期输错了几次密码

# pam_tally2 -u <user>

2.2 重制某个用户登录密码输错次数

# pam_tally2 -u <user> -r --reset

步骤三：部分用户输错密码次数限制的排除

# vim /etc/pam.d/sshd

在此行：

......
auth        required    pam_tally2.so onerr=fail audit silent deny=15 unlock_time=3000 even_deny_root root_unlock_time=3000
......

下面添加：

......
auth [success=1 default=ignore] pam_succeed_if.so user in mingyuzhu1:mingyuzhu2:mingyuzhu3
......

（补充：这里以排除用户 zhumingyu1、zhumingyu2 和 zhumingyu3 的输错密码次数限制为例）

参考文献：

https://access.redhat.com/solutions/62949

March 5, 2021July 9, 2023

[步骤] Linux su 命令白名单的设置（通过指定的组实现）

步骤一：设置只有属于某个组的用户才能使用 su 命令

CentOS & RHEL 设置只有属于某个组的用户才能使用 su 命令

# sed -i '/auth.*include.*common-auth/a     auth     required       pam_wheel.so use_uid' /etc/pam.d/su

（
补充：
1) 这里以设置只有 wheel 才能使用 su 命令为例
2) 如果要指定另 1 个特定的组例如 canusesu 可以使用 su 命令，则命令为：

# sed -i '/auth.*include.*common-auth/a     auth     required       pam_wheel.so use_uid group=canusesu' /etc/pam.d/su

）

openSUSE & SUSE 设置只有属于某个组的用户才能使用 su 命令

# sed -i '/auth.*include.*common-auth/a     auth     required       pam_wheel.so use_uid' /etc/pam.d/su
# sed -i '/auth.*include.*common-auth/a     auth     required       pam_wheel.so use_uid' /etc/pam.d/su-l

（
补充：
1) 这里以设置只能 wheel 才能使用 su 命令为例
2) 如果要指定另 1 个特定的组例如 canusesu 可以使用 su 命令，则命令为：

# sed -i '/auth.*include.*common-auth/a     auth     required       pam_wheel.so use_uid group=canusesu' /etc/pam.d/su
# sed -i '/auth.*include.*common-auth/a     auth     required       pam_wheel.so use_uid group=canusesu' /etc/pam.d/su-l

）

步骤二：将需要使用 su 命令的用户添加到可以使用 su 命令的组里

# usermod -a -G wheel eternalcenter

（补充：这里以给用户 eternalcenter 添加附属组的方式将用户 eternalcenter 添加到 wheel 附属组为例）

步骤三：确保 /etc/group 配置文件中使用 su 命令的用户已添加到可以使用 su 命令的组里

# cat /etc/group | grep wheel
wheel:x:10:eternalcenter,root

（补充：这里以显示 eternalcenter 用户和 root 用户以添加附属组的方式添加到 wheel 组里为例）

步骤四：验证 su 命令白名单

4.1 以其他普通用户的身份使用 su 命令切换到其他用户

（步骤略）

（补充：就算密码正确也会显示 su: Authentication failure）

4.2 以在可以使用 su 命令的组里用户的身份使用 su 命令切换到其他用户

# su - eternalcenter
$ su - root