清空 /etc/securetty 仅禁止 root 从本地终端登录，不影响网络连接；真正断网需禁用网卡、清空路由、配置防火墙 DROP 策略。
清空 /etc/securetty 文件并不能将机器“升格为断网机”，这个操作与网络隔离完全无关，且存在严重安全风险和系统可用性问题。
securetty 的真实作用
/etc/securetty 文件仅控制 root 用户能否通过哪些终端（TTY）直接登录，例如本地控制台（tty1–tty6）、串口（ttyS0）、虚拟控制台等。它不涉及网络服务、防火墙、路由或任何网络连接状态。
该文件对以下登录方式无效：
- 普通用户（非 root）的 SSH 登录
- root 通过 SSH 登录（除非同时禁用
PermitRootLogin） - systemd 服务、cron 任务、API 调用、数据库连接等所有网络通信行为
清空 securetty 的实际后果
若执行 truncate -s 0 /etc/securetty 或删除全部内容：
- root 将无法从任何本地物理终端或虚拟控制台（如 Ctrl+Alt+F2）登录
- 若系统未配置其他管理方式（如 sudo 权限的普通用户、SSH 密钥登录），可能导致 root 完全失管
- 不影响 SSH、HTTP、数据库端口等任何网络监听或外连行为——机器照常联网
真正实现“断网”的合规做法
若需将生产机隔离为离线环境（如用于密钥签名、离线审计、高敏计算），应采用网络层控制：
-
禁用网卡：运行
ip link set eth0 down或修改网络配置（如 NetworkManager / systemd-networkd）停用所有接口 -
卸载网络驱动（可选）：
modprobe -r e1000e（根据网卡型号调整），防止意外启用 -
防火墙全拒：使用
iptables -P INPUT DROP; iptables -P OUTPUT DROP; iptables -P FORWARD DROP并保存规则 -
移除默认路由：
ip route flush default -
验证断网状态：检查
ip a（无 UP 状态网卡）、ip route（无默认路由）、ss -tln（关键端口未监听）
安全加固建议（而非“断网替代方案”）
若目标是提升单机安全性（而非物理断网），请优先做：
- 禁用 root 远程登录：
PermitRootLogin noin/etc/ssh/sshd_config - 限制 SSH 访问源 IP 或使用跳板机
- 关闭非必要服务（
systemctl list-unit-files --state=enabled审查） - 配置最小化
/etc/securetty（如仅保留console或必要 tty），而非清空
把“清空 securetty”误解为断网手段，属于混淆认证控制与网络控制。生产环境务必以网络设备策略、内核路由、防火墙规则为准，避免因误操作导致不可逆的运维中断。
