Linux账户锁定需手动配置PAM模块，新版系统用pam_faillock.so（三行规则缺一不可），旧系统用pam_tally2.so；必须正确插入认证段开头并配齐auth与account行，否则无效。
Linux 默认不锁定账户，必须手动配置 PAM 模块才能生效；不改配置文件、只调命令是无效的。
确认系统用的是 pam_faillock 还是 pam_tally2
新版发行版（如 RHEL 8+/CentOS Stream 8+、Fedora 33+、Arch Linux）已弃用 pam_tally2.so，改用 pam_faillock.so。Ubuntu 22.04+ 默认也倾向用 pam_faillock，但部分旧部署仍保留 pam_tally2。
判断方法：
- 运行
ls /lib/security/pam_faillock.so，存在则优先用它 - 运行
ls /lib/security/pam_tally2.so，存在且pam_faillock.so不存在，才考虑用它 - 查已启用的规则：
grep -E "(faillock|tally)" /etc/pam.d/system-auth /etc/pam.d/common-auth /etc/pam.d/sshd 2>/dev/null
混用两个模块会导致冲突或静默失效——选一个，配全，删掉另一个的残留行。
配 pam_faillock：三行缺一不可
以 Debian/Ubuntu 为例，编辑 /etc/pam.d/common-auth；RHEL/CentOS/Arch 编辑 /etc/pam.d/system-auth 或 /etc/pam.d/system-login。
在文件**开头附近**（认证段起始处）插入以下三行（顺序不能错）：
auth [default=ignore] pam_faillock.so authfail deny=5 unlock_time=900 fail_interval=60 auth [default=die] pam_faillock.so authsucc deny=5 unlock_time=900 fail_interval=60 account required pam_faillock.so
关键点：
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
-
deny=5：60 秒内输错 5 次即触发锁定 -
unlock_time=900：锁定持续 15 分钟（单位秒），设为 0 表示永久锁定（需手动重置） -
fail_interval=60：“连续失败”的时间窗口是 60 秒，超时后计数清零 - 第三行
account required pam_faillock.so是强制检查环节，漏掉这行，auth规则形同虚设 - 不要把规则加在文件末尾——PAM 按顺序执行，靠后的位置可能被前面的
[success=ok]或sufficient提前终止
配 pam_tally2（仅限老系统或明确需要时）
适用于 Ubuntu 18.04、CentOS 7 等仍默认带该模块的系统。编辑 /etc/pam.d/common-auth（Debian/Ubuntu）或 /etc/pam.d/system-auth（RHEL/CentOS）。
插入两行（注意位置同样要靠前）：
auth required pam_tally2.so deny=3 unlock_time=300 even_deny_root account required pam_tally2.so
常见陷阱：
-
even_deny_root不加的话，root 用户永远不被锁定 - 只加
auth行不加account行，登录会拒绝但不会记录失败次数，下次仍可试 -
unlock_time单位是秒，设成300是 5 分钟，不是 300 分钟 - SSH 登录需额外在
/etc/pam.d/sshd里加相同规则，否则只限制本地 tty
验证与排错：别等真锁了才动手
配置完别重启，先用非 root 账户测试：
- 查当前失败记录：
faillock --user username（pam_faillock）或pam_tally2 --user username（pam_tally2） - 模拟输错：
su - username后故意输错密码 3–5 次，再立刻查状态看是否标记为Locked - 解锁测试：
faillock --user username --reset或pam_tally2 --user username --reset，确认输出中失败次数归零 - 如果输错后仍能登录，大概率是 PAM 配置位置错了，或有其它
auth [success=done]规则提前跳过后续检查
真正上线前，务必在非生产环境走一遍完整流程：输错 → 锁定 → 查状态 → 解锁 → 再登录。PAM 规则一旦写错，可能让 root 都无法登录——没有 tty 可用时，连修复都困难。
