要在linux中限制用户登录ip需使用pam_access模块，具体步骤如下：1. 确认系统已加载pam_Access.so模块，可通过检查/etc/pam.d/sshd或/etc/pam.d/login文件是否存在“account required pam_access.so”实现；2. 编辑/etc/security/access.conf配置规则，格式为“permission : users : origins”，如“- root : all except 192.168.1.0/24”表示root仅允许来自该网段的登录；3. 若用于ssh限制，需确保该模块已在/etc/pam.d/sshd中添加，并重启sshd服务生效；此外注意规则顺序、测试避免被锁、考虑本地登录及dns解析问题。
限制用户登录的IP地址在linux系统中是一个常见的安全需求，尤其是在服务器对外提供服务时。通过配置PAM模块中的pam_access.so，我们可以灵活地实现对特定用户或用户组从指定IP地址登录的控制。
配置前的准备
首先，确认你的系统支持pam_access模块。大多数主流Linux发行版（如centos、ubuntu）都默认包含这个模块。你可以查看 /etc/pam.d/sshd 或 /etc/pam.d/login 等文件是否存在 account required pam_access.so 这一行作为判断依据。
如果没有启用，可以手动添加。例如在SSH登录中启用：
account required pam_access.so
添加后保存并重启sshd服务即可生效。
1. 修改 access.conf 文件
核心配置位于 /etc/security/access.conf 文件中。该文件定义了允许或拒绝哪些用户从哪些主机登录的规则。
格式如下：
permission : users : origins
- permission：+ 表示允许，- 表示拒绝。
- users：用户名或组名（组名前面加 @）。
- origins：允许/拒绝的IP地址、网络段或域名。
举个例子：
- root : ALL EXCEPT 192.168.1.0/24 + deploy : 192.168.1.100 - @admin : 10.0.0.0/8
上面这段配置的意思是：
- root 用户只能从 192.168.1.0/24 网络段登录，其他来源一律禁止；
- deploy 用户只能从 192.168.1.100 登录；
- admin 组的所有成员不能从 10.0.0.0/8 网络段登录。
注意：规则是按顺序匹配的，一旦命中某条规则就不再继续判断。
2. 应用到SSH登录场景
如果你希望限制只通过SSH远程登录的情况，需要确保在 /etc/pam.d/sshd 中已经加载了 pam_access.so 模块。
打开文件：
sudo vi /etc/pam.d/sshd
加入这一行（如果不存在）：
account required pam_access.so
保存退出，并重启ssh服务：
sudo systemctl restart sshd
这样，当用户尝试通过SSH连接时，就会受到 access.conf 中规则的限制。
3. 常见问题与注意事项
- 规则顺序很重要：越靠前的规则优先级越高。建议把最严格的规则放在前面。
- 测试环境先验证：修改完配置后不要立刻断开当前连接，新开一个终端窗口测试是否还能登录，避免把自己锁在外面。
- 不要遗漏本地登录：如果你限制了root用户访问，但又没有为root设置白名单IP，可能导致无法远程管理。
- 支持通配符和DNS解析：可以使用 ALL、LOCAL、UNKNOWN 等关键字，也可以写域名，但要注意DNS解析延迟的问题。
基本上就这些。配置过程不复杂，但容易忽略细节，尤其是规则顺序和测试环节。只要逻辑清晰，就能有效提升系统的安全性。
