linux - pam_tally2 将成功登录记录为失败

Question

我正在将 debian 中的/etc/pam.d/common-auth 文件编辑为以下内容:

auth    [success=1 default=ignore]      pam_unix.so nullok_secure
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so
auth    [success=1 default=ignore]      pam_succeed_if.so user = linuxuser
auth    required                        pam_tally2.so file=/var/log/faillog onerr=fail deny=3 unlock_time=30
account required                        pam_tally2.so

这样我就可以为失败的密码尝试启用帐户锁定。当使用帐户 user 进行测试时，它会记录成功和不成功的登录

在我的研究中，我发现了两条建议。

1) 添加account required pam_tally2.so到/etc/pam.d/common-account

2) 确保/etc/ssh/sshd_config 有 ChallengeResponseAuthentication no 而不是 ChallengeResponseAuthentication yes

我已经做了这两项更改，但仍然遇到这个问题。我还尝试重新排列线条，使其看起来如下所示:

auth    [success=1 default=ignore]      pam_succeed_if.so user = linuxuser
auth    required                        pam_tally2.so file=/var/log/faillog onerr=fail deny=3 unlock_time=30
account required                        pam_tally2.so
auth    [success=1 default=ignore]      pam_unix.so nullok_secure
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so

但这也不起作用。有人知道我做错了什么吗？

编辑:我现在注意到，当以 user 身份登录时，计数会在输入密码之前递增，并且如果输入正确的密码则不会重置。我现在在 common-auth 和 common-account 文件中放置了关于 pam_unix.so 和 account required pam_tally2.so 的 pam_tally2 规则。帮助!

Answer 1

解决方案是将故障日志文件同时提供给计数线和重置线。以下是有效的:

auth    [success=1 default=ignore]      pam_succeed_if.so user = linuxuser
auth    required                        pam_tally2.so file=/var/log/faillog onerr=fail deny=3 unlock_time=30
account required                        pam_tally2.so file=/var/log/faillog
auth    [success=1 default=ignore]      pam_unix.so nullok_secure
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so