Slackware多用户环境完全搭建手册 从零开始构建稳定的多账户工作环境 涵盖用户创建权限设置及安全管理

威震华夏关云长

引言

Slackware是现存最古老的Linux发行版之一，以其简洁、稳定和类Unix的设计理念而著称。在服务器和工作站环境中，搭建一个安全、高效的多用户环境是系统管理的基础工作。本文将详细介绍如何在Slackware系统上从零开始构建稳定的多账户工作环境，包括用户创建、权限设置和安全管理等方面的内容。

Slackware系统基础

在开始多用户环境配置之前，我们需要确保Slackware系统已经正确安装并进行了基本配置。Slackware以其简洁性和高度可定制性而闻名，但也因此需要管理员对系统有更深入的了解。

系统更新

首先，确保系统是最新的：

2. # 更新软件包列表
3. slackpkg update
5. # 升级所有软件包
6. slackpkg upgrade-all

复制代码

基本系统配置

检查并配置基本系统设置：

2. # 设置主机名
3. hostnamectl set-hostname slackware-server
5. # 配置时区
6. ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
8. # 同步系统时间
9. ntpdate pool.ntp.org

复制代码

用户管理基础

在Linux系统中，用户和组是权限管理的基本单位。理解这些概念对于构建多用户环境至关重要。

用户和组的概念

Linux系统中的每个用户都有一个唯一的用户ID（UID）和所属组。组是一组用户的集合，用于简化权限管理。

相关配置文件：

• /etc/passwd- 存储用户账户信息
• /etc/shadow- 存储加密的密码信息
• /etc/group- 存储组信息
• /etc/gshadow- 存储组的密码信息

查看当前用户和组

2. # 查看当前用户
3. whoami
5. # 查看用户ID和组ID
6. id
8. # 查看所有用户
9. cat /etc/passwd | cut -d: -f1
11. # 查看所有组
12. cat /etc/group | cut -d: -f1

复制代码

用户账户创建

在Slackware中，创建和管理用户账户有多种方法。我们将介绍命令行工具和直接编辑配置文件的方法。

使用useradd创建用户

useradd是创建新用户的标准命令：

2. # 基本用户创建
3. useradd username
5. # 创建用户并指定家目录
6. useradd -m username
8. # 创建用户并指定登录shell
9. useradd -m -s /bin/bash username
11. # 创建用户并指定用户ID
12. useradd -m -u 1001 username
14. # 创建用户并指定主要组
15. useradd -m -g users username
17. # 创建用户并指定附加组
18. useradd -m -G users,wheel,audio,video username

复制代码

设置用户密码

创建用户后，需要设置密码：

2. # 为新用户设置密码
3. passwd username
5. # 设置强密码策略
6. # 编辑/etc/login.defs文件，修改以下参数：
7. PASS_MAX_DAYS   90
8. PASS_MIN_DAYS   7
9. PASS_WARN_AGE   7

复制代码

使用adduser脚本

Slackware提供了一个交互式的用户创建脚本adduser：

2. # 运行adduser脚本
3. adduser
5. # 按照提示输入用户信息
6. Login name for new user []: username
7. User ID ('UID') [ defaults to next available ]:
8. Initial group [ users ]:
9. Additional UNIX groups []:
10. Home directory [ /home/username ]
11. Shell [ /bin/bash ]
12. Expiry date (YYYY-MM-DD) []:

复制代码

批量创建用户

在需要创建多个用户的情况下，可以编写脚本实现批量创建：

2. #!/bin/bash
3. # create_users.sh - 批量创建用户脚本
5. # 用户列表
6. users=(
7.     "user1"
8.     "user2"
9.     "user3"
10. )
12. # 为每个用户创建账户
13. for user in "${users[@]}"; do
14.     # 检查用户是否已存在
15.     if id "$user" &>/dev/null; then
16.         echo "用户 $user 已存在，跳过创建。"
17.     else
18.         # 创建用户
19.         useradd -m -s /bin/bash -G users "$user"
20.         
21.         # 设置随机密码
22.         password=$(openssl rand -base64 12)
23.         echo "$user:$password" | chpasswd
24.         
25.         # 强制用户在首次登录时更改密码
26.         chage -d 0 "$user"
27.         
28.         echo "用户 $user 创建成功，初始密码: $password"
29.     fi
30. done

复制代码

修改用户属性

使用usermod命令可以修改现有用户的属性：

2. # 修改用户家目录
3. usermod -d /new/home/dir username
5. # 修改用户登录shell
6. usermod -s /bin/zsh username
8. # 将用户添加到附加组
9. usermod -a -G wheel username
11. # 锁定用户账户
12. usermod -L username
14. # 解锁用户账户
15. usermod -U username
17. # 重命名用户
18. usermod -l newname oldname

复制代码

删除用户

使用userdel命令删除用户：

2. # 仅删除用户账户，保留家目录
3. userdel username
5. # 删除用户账户及其家目录
6. userdel -r username

复制代码

权限设置

在多用户环境中，正确设置权限是确保系统安全和数据隔离的关键。

文件权限基础

Linux系统使用传统的Unix权限模型，包括读®、写(w)和执行(x)权限，分别对应所有者、组和其他用户。

2. # 查看文件权限
3. ls -l
5. # 修改文件权限
6. chmod 755 filename
7. chmod u=rwx,g=rx,o=rx filename
9. # 修改文件所有者
10. chown username filename
12. # 修改文件所属组
13. chown :groupname filename
14. chgrp groupname filename
16. # 递归修改目录权限
17. chmod -R 755 directory
18. chown -R username directory

复制代码

特殊权限

除了基本权限外，Linux还支持特殊权限位：SUID、SGID和Sticky Bit。

2. # 设置SUID权限（执行文件时以所有者身份运行）
3. chmod u+s filename
4. chmod 4755 filename
6. # 设置SGID权限（在目录中创建的文件继承目录的组）
7. chmod g+s directory
8. chmod 2755 directory
10. # 设置Sticky Bit（只有文件所有者才能删除文件）
11. chmod +t directory
12. chmod 1777 directory

复制代码

配置sudo

sudo允许普通用户以超级用户或其他用户的身份执行命令。在Slackware中，需要手动配置sudo。

首先，安装sudo（如果尚未安装）：

2. # 安装sudo
3. slackpkg install sudo

复制代码

然后，配置sudo：

2. # 编辑sudoers文件
3. visudo
5. # 添加用户到wheel组，允许wheel组成员使用sudo
6. %wheel ALL=(ALL) ALL
8. # 或者允许特定用户使用sudo
9. username ALL=(ALL) ALL
11. # 允许用户执行特定命令而不需要密码
12. username ALL=(ALL) NOPASSWD: /usr/bin/apt, /usr/bin/systemctl restart httpd

复制代码

文件系统ACL

访问控制列表（ACL）提供了比传统权限更精细的控制。

2. # 安装ACL工具
3. slackpkg install acl
5. # 查看文件ACL
6. getfacl filename
8. # 设置文件ACL
9. setfacl -m u:username:rw filename
10. setfacl -m g:groupname:rx filename
12. # 设置默认ACL（应用于目录中新建的文件）
13. setfacl -d -m u:username:rw directory
14. setfacl -d -m g:groupname:rx directory
16. # 删除ACL
17. setfacl -x u:username filename
18. setfacl -b filename  # 删除所有ACL

复制代码

共享目录设置

在多用户环境中，经常需要设置共享目录，允许特定组的用户访问和修改文件。

2. # 创建共享目录
3. mkdir /shared
4. mkdir /shared/project
6. # 创建共享组
7. groupadd projectteam
9. # 设置目录所属组
10. chown :projectteam /shared/project
12. # 设置目录权限
13. chmod 2770 /shared/project  # SGID确保新文件继承组
15. # 添加用户到共享组
16. usermod -a -G projectteam user1
17. usermod -a -G projectteam user2
19. # 设置默认ACL（可选）
20. setfacl -d -m u::rwx,g::rwx,o::000 /shared/project
21. setfacl -m u::rwx,g::rwx,o::000 /shared/project

复制代码

磁盘配额管理

在多用户环境中，为了避免用户占用过多磁盘空间，需要实施磁盘配额。

配置文件系统配额

首先，确保文件系统支持配额：

2. # 编辑/etc/fstab，为需要配额的文件系统添加usrquota和grpquota选项
3. /dev/sda1  /  ext4  defaults,usrquota,grpquota  1  1
5. # 重新挂载文件系统
6. mount -o remount /
8. # 创建配额文件
9. quotacheck -cum /
10. quotacheck -cgm /

复制代码

启用配额

2. # 启用配额
3. quotaon -v /
5. # 检查配额状态
6. quotaon -p
7. repquota -a

复制代码

设置用户配额

2. # 为用户设置配额
3. edquota username
5. # 或者使用setquota命令
6. setquota username 100M 110M 0 0 /home
8. # 设置软限制为100MB，硬限制为110MB

复制代码

配额报告和监控

2. # 查看用户配额使用情况
3. quota -u username
5. # 查看所有用户配额使用情况
6. repquota -a
8. # 生成配额报告
9. warnquota

复制代码

自动化配额管理

可以创建脚本来定期检查配额使用情况并发送警告：

2. #!/bin/bash
3. # quota_check.sh - 定期检查配额使用情况
5. # 设置配额使用阈值（百分比）
6. THRESHOLD=80
8. # 获取所有用户
9. users=$(awk -F: '$3 >= 1000 && $3 <= 60000 {print $1}' /etc/passwd)
11. # 检查每个用户的配额使用情况
12. for user in $users; do
13.     # 获取配额使用情况
14.     usage=$(quota -u $user | tail -n 2 | head -n 1 | awk '{print $2}')
15.     limit=$(quota -u $user | tail -n 2 | head -n 1 | awk '{print $3}')
16.    
17.     # 计算使用百分比
18.     if [ "$limit" -gt 0 ]; then
19.         percent=$((usage * 100 / limit))
20.         
21.         # 如果超过阈值，发送警告邮件
22.         if [ "$percent" -ge "$THRESHOLD" ]; then
23.             echo "警告：用户 $user 的磁盘使用率已达到 $percent%" | mail -s "配额警告" $user
24.         fi
25.     fi
26. done

复制代码

将此脚本添加到cron定期执行：

2. # 编辑crontab
3. crontab -e
5. # 添加以下行，每天早上8点检查配额
6. 0 8 * * * /path/to/quota_check.sh

复制代码

安全管理

在多用户环境中，安全管理是至关重要的。本节将介绍密码策略、SSH安全、系统加固等方面的内容。

密码策略

强密码策略是系统安全的第一道防线。

2. # 安装密码质量检查工具
3. slackpkg install libpwquality
5. # 配置密码策略
6. # 编辑/etc/security/pwquality.conf文件
7. minlen = 12
8. minclass = 3
9. dcredit = -1
10. ucredit = -1
11. lcredit = -1
12. ocredit = -1
13. maxrepeat = 3
14. gecoscheck = 1
15. dictcheck = 1
17. # 编辑/etc/login.defs文件
18. PASS_MAX_DAYS   90
19. PASS_MIN_DAYS   7
20. PASS_WARN_AGE   7
21. ENCRYPT_METHOD SHA512

复制代码

SSH安全配置

SSH是远程管理的主要方式，需要确保其安全性。

2. # 编辑SSH配置文件
3. nano /etc/ssh/sshd_config
5. # 修改以下配置
6. Port 2222  # 更改默认端口
7. PermitRootLogin no  # 禁止root登录
8. PasswordAuthentication yes  # 允许密码认证（如果需要）
9. PubkeyAuthentication yes  # 允许密钥认证
10. PermitEmptyPasswords no  # 禁止空密码
11. MaxAuthTries 3  # 最大认证尝试次数
12. AllowUsers user1 user2  # 允许登录的用户
13. AllowGroups sshusers  # 允许登录的组
15. # 重启SSH服务
16. /etc/rc.d/rc.sshd restart

复制代码

配置SSH密钥认证

使用SSH密钥认证比密码认证更安全。

2. # 在客户端生成SSH密钥对
3. ssh-keygen -t rsa -b 4096
5. # 将公钥复制到服务器
6. ssh-copy-id -i ~/.ssh/id_rsa.pub username@server
8. # 或者手动复制
9. # 在服务器上创建.ssh目录
10. mkdir -p /home/username/.ssh
11. chmod 700 /home/username/.ssh
13. # 添加公钥到authorized_keys
14. echo "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQ..." > /home/username/.ssh/authorized_keys
15. chmod 600 /home/username/.ssh/authorized_keys
16. chown -R username:username /home/username/.ssh

复制代码

系统加固

2. # 安装防火墙
3. slackpkg install iptables
5. # 创建基本防火墙规则
6. cat > /etc/rc.d/rc.firewall << 'EOF'
7. #!/bin/sh
8. # 基本防火墙规则
10. # 清空所有规则
11. iptables -F
12. iptables -X
13. iptables -t nat -F
14. iptables -t nat -X
15. iptables -t mangle -F
16. iptables -t mangle -X
18. # 设置默认策略
19. iptables -P INPUT DROP
20. iptables -P FORWARD DROP
21. iptables -P OUTPUT ACCEPT
23. # 允许本地回环
24. iptables -A INPUT -i lo -j ACCEPT
25. iptables -A OUTPUT -o lo -j ACCEPT
27. # 允许已建立的连接
28. iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
30. # 允许SSH
31. iptables -A INPUT -p tcp --dport 2222 -j ACCEPT
33. # 允许HTTP和HTTPS
34. iptables -A INPUT -p tcp --dport 80 -j ACCEPT
35. iptables -A INPUT -p tcp --dport 443 -j ACCEPT
37. # 允许ICMP（ping）
38. iptables -A INPUT -p icmp --icmp-type echo-request -j ACCEPT
40. # 记录并拒绝其他连接
41. iptables -A INPUT -j LOG --log-prefix "INPUT_DROP: "
42. iptables -A INPUT -j DROP
43. EOF
45. # 使防火墙脚本可执行
46. chmod +x /etc/rc.d/rc.firewall
48. # 启动防火墙
49. /etc/rc.d/rc.firewall
51. # 添加到启动脚本
52. echo "/etc/rc.d/rc.firewall" >> /etc/rc.d/rc.local

复制代码

安全审计

2. # 安装审计工具
3. slackpkg install auditd
5. # 配置审计规则
6. # 编辑/etc/audit/audit.rules文件
7. # 删除所有规则
8. -D
10. # 设置缓冲区大小
11. -b 8192
13. # 监控文件访问
14. -w /etc/passwd -p wa -k identity
15. -w /etc/shadow -p wa -k identity
16. -w /etc/group -p wa -k identity
17. -w /etc/sudoers -p wa -k identity
19. # 监控系统调用
20. -a always,exit -F arch=b64 -S chmod -S fchmod -S fchmodat -F auid>=1000 -F auid!=4294967295 -k perm_mod
21. -a always,exit -F arch=b64 -S chown -S fchown -S fchownat -S lchown -F auid>=1000 -F auid!=4294967295 -k perm_mod
23. # 监控登录事件
24. -w /var/log/lastlog -p wa -k logins
25. -w /var/log/faillog -p wa -k logins
27. # 启动审计服务
28. chmod +x /etc/rc.d/rc.auditd
29. /etc/rc.d/rc.auditd start
31. # 查看审计日志
32. ausearch -k identity -ts recent
33. aureport -m

复制代码

禁用不必要的服务

2. # 列出所有运行的服务
3. ls /etc/rc.d/rc.*
5. # 禁用不必要的服务
6. chmod -x /etc/rc.d/rc.rpc
7. chmod -x /etc/rc.d/rc.samba
8. chmod -x /etc/rc.d/rc.nfsd
9. chmod -x /etc/rc.d/rc.inetd
10. chmod -x /etc/rc.d/rc.sendmail
12. # 查看监听的端口
13. netstat -tulnp
14. ss -tulnp

复制代码

安装和配置fail2ban

fail2ban可以防止暴力破解攻击。

2. # 安装fail2ban
3. slackpkg install fail2ban
5. # 配置fail2ban
6. # 复制配置文件
7. cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
9. # 编辑jail.local
10. [DEFAULT]
11. bantime = 1h
12. findtime = 10m
13. maxretry = 3
15. [sshd]
16. enabled = true
17. port = 2222
18. logpath = %(sshd_log)s
19. maxretry = 3
21. # 启动fail2ban
22. chmod +x /etc/rc.d/rc.fail2ban
23. /etc/rc.d/rc.fail2ban start
25. # 查看被禁止的IP
26. fail2ban-client status sshd

复制代码

高级主题

PAM配置

可插拔认证模块（PAM）提供了灵活的认证机制。

2. # 安装PAM
3. slackpkg install Linux-PAM
5. # 配置PAM
6. # 编辑/etc/pam.d/system-auth
7. auth       required   pam_env.so
8. auth       sufficient pam_unix.so try_first_pass nullok
9. auth       required   pam_deny.so
11. account    required   pam_unix.so
12. account    sufficient pam_localuser.so
13. account    sufficient pam_succeed_if.so uid < 1000 quiet
14. account    required   pam_permit.so
16. password   requisite  pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
17. password   sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok
18. password   required   pam_deny.so
20. session    optional   pam_keyinit.so revoke
21. session    required   pam_limits.so
22. -session   optional  pam_systemd.so
23. session    [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
24. session    required   pam_unix.so

复制代码

用户活动监控

2. # 安装acct工具
3. slackpkg install acct
5. # 启动进程 accounting
6. chmod +x /etc/rc.d/rc.acct
7. /etc/rc.d/rc.acct start
9. # 查看用户命令历史
10. lastcomm
12. # 查看用户登录历史
13. last
14. lastb
16. # 配置系统日志
17. # 编辑/etc/syslog.conf
18. auth,authpriv.*                 /var/log/auth.log
19. *.info;mail.none;authpriv.none;cron.none    /var/log/messages

复制代码

资源限制

2. # 配置用户资源限制
3. # 编辑/etc/security/limits.conf
4. # 限制用户进程数
5. username soft nproc 100
6. username hard nproc 150
8. # 限制用户打开文件数
9. username soft nofile 1024
10. username hard nofile 2048
12. # 限制CPU时间
13. username soft cpu 10
14. username hard cpu 15
16. # 限制内存使用
17. username soft as 1048576
18. username hard as 2097152

复制代码

系统备份策略

2. # 安装rsync
3. slackpkg install rsync
5. # 创建备份脚本
6. cat > /usr/local/bin/backup.sh << 'EOF'
7. #!/bin/bash
8. # 系统备份脚本
10. # 设置备份目录
11. BACKUP_DIR="/backup"
12. DATE=$(date +%Y%m%d_%H%M%S)
14. # 创建备份目录
15. mkdir -p $BACKUP_DIR
17. # 备份系统文件
18. tar -czf $BACKUP_DIR/system_backup_$DATE.tar.gz \
19.     --exclude=/backup \
20.     --exclude=/proc \
21.     --exclude=/sys \
22.     --exclude=/dev \
23.     --exclude=/tmp \
24.     --exclude=/run \
25.     --exclude=/mnt \
26.     --exclude=/media \
27.     --exclude=/lost+found \
28.     /
30. # 备份用户数据
31. tar -czf $BACKUP_DIR/home_backup_$DATE.tar.gz /home
33. # 保留最近7天的备份，删除旧备份
34. find $BACKUP_DIR -name "*.tar.gz" -mtime +7 -delete
36. # 记录备份日志
37. echo "Backup completed at $(date)" >> $BACKUP_DIR/backup.log
38. EOF
40. # 使备份脚本可执行
41. chmod +x /usr/local/bin/backup.sh
43. # 添加到cron定期执行
44. crontab -e
45. # 添加以下行，每天凌晨2点执行备份
46. 0 2 * * * /usr/local/bin/backup.sh

复制代码

故障排除

用户无法登录

2. # 检查用户账户是否被锁定
3. passwd -S username
5. # 如果被锁定，解锁用户
6. passwd -u username
8. # 检查用户shell是否存在
9. grep username /etc/passwd
11. # 检查家目录权限
12. ls -ld /home/username
14. # 修复家目录权限
15. chown username:username /home/username
16. chmod 700 /home/username

复制代码

权限问题

2. # 检查文件权限
3. ls -l filename
5. # 修复文件权限
6. chmod 644 filename
7. chown username:groupname filename
9. # 检查目录权限
10. ls -ld directory
12. # 修复目录权限
13. chmod 755 directory
14. chown username:groupname directory
16. # 检查特殊权限
17. ls -ld /tmp
18. chmod 1777 /tmp  # 设置Sticky Bit

复制代码

磁盘配额问题

2. # 检查配额状态
3. quotaon -p
5. # 检查用户配额
6. quota -u username
8. # 检查配额文件一致性
9. quotacheck -vum /
11. # 重新生成配额文件
12. rm /aquota.user
13. quotacheck -cum /
14. quotaon -v /

复制代码

SSH连接问题

2. # 检查SSH服务状态
3. /etc/rc.d/rc.sshd status
5. # 检查SSH配置
6. sshd -t
8. # 检查SSH日志
9. tail -f /var/log/messages
10. tail -f /var/log/secure
12. # 检查防火墙规则
13. iptables -L -n

复制代码

系统资源问题

2. # 检查磁盘使用情况
3. df -h
5. # 检查inode使用情况
6. df -i
8. # 检查内存使用情况
9. free -h
11. # 检查CPU使用情况
12. top
13. htop
15. # 检查进程
16. ps aux
17. ps -ef

复制代码

总结

在Slackware系统上构建稳定的多用户环境需要系统管理员对用户管理、权限设置和安全管理有深入的理解。通过本文介绍的方法，您可以创建一个安全、高效的多用户工作环境。

最佳实践

1. 最小权限原则：只授予用户完成其工作所需的最低权限。
2. 定期审计：定期检查用户账户、权限和系统日志。
3. 备份策略：制定并执行可靠的备份策略。
4. 安全更新：定期更新系统和软件包以修复安全漏洞。
5. 监控和警报：设置系统监控和警报机制，及时发现和解决问题。

持续改进

多用户环境的管理是一个持续改进的过程。随着业务需求的变化和安全威胁的演变，需要不断调整和优化系统配置。定期评估系统安全性和性能，根据需要实施改进措施。

通过遵循本文提供的指南和最佳实践，您可以在Slackware系统上构建一个稳定、安全的多用户环境，为用户提供可靠的工作平台。