pam模块之faillock

faillock配置功能：在错误的密码登录deny=3次数后，锁定unlock_time=600秒。600秒后输入正确的密码，fail login count清零，可正常登录。在RHEL7中，只需要配置/etc/pam.d/password-auth 和/etc/pam.d/system-auth 文件。

通过 pam_faillock 模块，将登录尝试失败的数据储存在 /var/run/faillock 目录下每位用户的独立文件中

配置

添加以下命令行到 /etc/pam.d/system-auth 文件和/etc/pam.d/password-auth 文件中的对应区段

auth  required  pam_faillock.so preauth silent audit deny=3 unlock_time=600
auth  sufficient pam_unix.so nullok try_first_pass
auth  [default=die] pam_faillock.so authfail audit deny=3注意：
auth required pam_faillock.so preauth silent audit deny=3 必须在最前面。
适用于root在pam_faillock 条目里添加 even_deny_root 选项

faillock命令

查看每个用户的尝试失败次数

$ faillock
test:
When    Type Source           Valid
2021-06-20 14:29:05 RHOST 192.168.56.1           V
2021-06-20 14:29:14 RHOST 192.168.56.1           V
2021-06-20 14:29:17 RHOST 192.168.56.1           V

解锁一个用户的账户

faillock --user <username> --reset

关于faillock 连续错误和不连续错误的验证

不间断连续输入三次错误密码

连续输错密码三次

查看锁定情况，三次记录触发deny=3锁定600秒

输入正确密码无法登陆

间断输入一次错误一次正确再次错误密码

输入错误正确密码各一次

再次输入两次错误密码一次正确密码，发现依然无法登陆

证明：由上实验可知，faillock 模块不会因中途输入正确密码而重置错误次数，错误次数会不断累加。

pam模块之faillock相关推荐

linux pam 解锁_linux中pam模块
一.pam简介 Linux-PAM(linux可插入认证模块)是一套共享库,使本地系统管理员可以随意选择程序的认证方式. 换句话说,不用(重新编写)重新编译一个包含PAM功能的应用程序,就可以改变它使 ...
linux PAM模块
PAM可以说是一套应用程序编程接口,它提供了一连串的验证机制,只要用户将验证阶段的需求告知PAM后,PAM就能够回报用户验证结果(成功或失败). PAM通过一个与程序相同文件名的配置文件来进行一连串的 ...
linux学习-用户的特殊 shell 与 PAM 模块
特殊的 shell, /sbin/nologin 『无法登入』指的是:『这个使用者无法使用 bash 或其他 shell 来登入系统』而已, 并不是说这个账号就无法使用其他的系统资源! 让某个具有 / ...
linux pam模块 cron,Linux-PAM 1.1.2 中文文档 - 6.32. pam_tally-登录计数器(统计)模块 | Docs4dev...
pam_tally.so [file = * +2+ *] [onerr = [* +3+ * | * +4+ *]] [magic_root] [even_deny_root_account] [d ...
centos7 vsftpd 虚拟用户 pam模块认证
若开启selinux的话,那么就需要 chcon -R -t public_content_t /var/ftp/user1/ chcon -R -t public_content_t /var/ft ...
第十四章使用者的特殊 shell 与 PAM 模块
我们前面一直谈到的大多是一般身份用户与系统管理员 (root) 的相关操作, 而且大多是讨论关于可登陆系统的账号来说.那么换个角度想,如果我今天想要创建的, 是一个『仅能使用 mail server ...
Linux系统的PAM模块认证文件含义说明总结
在Linux中执行有些程序时,这些程序在执行前首先要对启动它的用户进行认证,符合一定的要求之后才允许执行,例如login, su等.在Linux中进行身份或是状态的验证程序是由PAM来进行的,PAM( ...
Linux中PAM模块详解
一.pam简介 Linux-PAM(linux可插入认证模块)是一套共享库,使本地系统管理员可以随意选择程序的认证方式.换句话说,不用重新编译一个包含PAM功能的应用程序,就可以改变它使用的认证机制. ...
Linux——用户的特殊shell与PAM模块
问题:我们能否建立一个仅能使用的mail server相关邮件服务的账号,而该账号并不能登入Linux主机 1.特殊的shell./sbin/nologin 由于系统账号不需要登入,我们就给这个无法登 ...