如何使用pam_tally2.so模块限制Linux登录失败次数并禁止5分钟
在今天的网络安全环境中，保护我们的计算机和服务器免受未经授权访问是至关重要的。为了实现这一目标，您需要采取各种安全措施来防止黑客和恶意用户入侵您的系统。其中一个有效方法是使用PAM（Pluggable Authentication Modules）框架。
PAM框架是Linux上用于身份验证和访问控制管理的标准接口。它可以与多个应用程序进行交互，并提供灵活性和可定制性。 PAM框架支持多种身份验证方式，例如密码、指纹、智能卡等。
在本文中，我们将介绍如何使用PAM模块来限制用户在登录时输入错误密码次数，并且达到3次失败后禁止其再尝试5分钟。
步骤1：查看pam_tally2.so是否已安装
第一，请确保您已经安装了pam_tally2.so模块。通过以下命令检查该模块是否已经启用：
```
$ ls /lib64/security/pam_tally*
如果此命令返回文件名，则表示该模块已启用；否则请执行以下命令以安装它：
$ sudo yum install pam_tally2
步骤2：配置pam_tally2.so模块
接下来，您需要设置PAM以使用模块。打开 /etc/pam.d/system-auth 文件并添加以下行：
auth required pam_tally2.so deny=3 unlock_time=300 onerr=fail audit even_deny_root_account silent
此行将告诉系统在用户尝试登录时启用pam_tally2，并限制其输入错误密码次数为3次。如果达到此限制，则禁止用户再尝试5分钟。
参数说明：
- deny=3 - 如果一个用户的失败登录次数达到了这个值，那么该账户就会被锁定。
- unlock_time=300 - 设置锁定时间（单位秒）。当一个账户被锁定之后，在规定的时间内是无法登陆的。
- onerr=fail - 表示在认证过程中出现任何问题都应该视为验证失败。
- audit - 生成日志记录以指示每个违规事件。
- even_deny_root_account – 即使 root 账户也受到上述限制。
完成后，请保存文件并退出编辑器。
步骤3：测试pam_tally2.so模块
现在您可以测试新配置是否成功。请注意，只有普通用户才能触发计数器和禁令功能；root 用户不受此约束。
第一，请确保已经激活了新配置。通过执行如下命令查看：
$ grep pam_tally2.so /etc/pam.d/system-auth
如果输出结果包含了上面添加的那一行，就说明新配置已经成功启用。
接下来，请尝试使用错误密码登录三次。此时系统应该会拒绝您的登录并显示类似于以下内容的消息：
Login incorrect (retry 1 of 3)
Login incorrect (retry 2 of 3)
Account locked due to too many failed logins
在第三次失败后，您将被禁止5分钟内再次尝试登录。
当然，在实际操作中，我们建议您不要让用户达到最大允许失败次数。相反，他们应该及时重置其密码，并采取其他安全措施以保护其账户和数据安全。
总结
通过使用PAM框架和pam_tally2.so模块，可以轻松限制Linux系统上用户输入错误密码的数量，并且达到指定阈值后自动禁止帐户访问。这项功能可增强服务器和计算机的安全性，并提高对未经授权访问者入侵攻击的预防能力。
