在Linux系统管理中，安全是至关重要的一个环节。当用户多次尝试登录失败时，为了防止恶意攻击，系统通常会采取锁定用户账号的策略。这个过程可以通过PAM（Pluggable Authentication Modules）机制来实现。在本文中，我们将讨论如何使用PAM_TALLY2.SO和PAM_TALLY.SO模块来实现这一功能，并且在用户锁定后设定自动解锁的时间。
1. 确定使用PAM_TALLY2.SO模块还是PAM_TALLY.SO模块
在Linux系统中，PAM_TALLY2.SO和PAM_TALLY.SO模块都是用于统计用户登录失败次数的。PAM_TALLY2.SO提供了更高级的功能，比如记录失败的登录尝试信息到日志文件，以及支持自动解锁。如果系统中已经安装了PAM_TALLY2.SO，推荐使用它，因为它具有更多的安全特性。如果没有，可以使用PAM_TALLY.SO，但请注意它的功能相对有限。
2. 使用PAM_TALLY2.SO模块限制用户登录失败N次锁定用户（几分钟后自动解锁）
- 远程SSH登录限制方法：
修改`/etc/pam.d/sshd`配置文件，在`#%PAM-1.0`下方添加以下行，以限制远程SSH登录失败次数：
```
auth required pam_tally2.so onerr=fail deny=3 unlock_time=300
```
这里，`deny=3`表示允许3次失败尝试，`unlock_time=300`表示5分钟后自动解锁。
- 查看用户登录失败次数及解锁命令：
可以使用`pam_tally2 --user username`命令查看用户登录失败次数，解锁用户则使用`pam_tally2 --user username --reset`。
- SUSE LINUX多次登录失败锁定用户及解锁：
SUSE Linux系统下的操作与上述类似，只是可能需要根据具体版本的文档进行调整。
- 手动锁定用户：
使用`usermod -L username`命令可手动锁定用户，解锁则用`usermod -U username`。
- 本地字符终端和图形登录限制：
对于本地登录，如需限制，需要修改对应服务（如`/etc/pam.d/login`或`/etc/pam.d/gdm`）的配置文件，添加相应的PAM_TALLY2.SO规则。
3. 使用PAM_TALLY.SO模块限制用户登录失败N次锁定用户
PAM_TALLY.SO的配置方法与PAM_TALLY2.SO类似，但不支持自动解锁。如果需要自动解锁，需要通过Cron任务来实现。
- 添加Crontab任务实现自动解锁：
在`crontab -e`中添加定时任务，例如：
```
0 * * * * /usr/bin/pam_tally --user username --reset
```
这将每小时执行一次，重置用户登录失败计数。
总结，通过PAM模块，我们可以有效地管理和保护Linux系统的用户登录安全性。PAM_TALLY2.SO模块提供了更加全面的功能，包括自动解锁，而PAM_TALLY.SO则需要配合其他机制来实现相同效果。无论选择哪种模块，都需要确保配置正确，并且考虑到系统的整体安全策略。
VIP享7折，此内容立减4.47元 
