Linux PAM Tally是系统底层的安全机制，通过限制用户登录失败次数来防止暴力破解，配置得当可显著提升服务器安全性且无需额外购买软件。
在Linux系统的安全加固中，身份验证是最关键的一环，许多管理员面对服务器被暴力破解时，往往只想到修改防火墙规则或升级SSH端口，却忽略了操作系统内核自带的防御武器，PAM（Pluggable Authentication Modules，可插拔认证模块）作为Linux认证架构的核心，提供了灵活且强大的访问控制能力。pam_tally2（在较新系统中演进为pam_faillock）模块专门用于监控和限制登录尝试，它就像一位不知疲倦的门卫，记录每一次错误的敲门行为，当错误次数超过阈值，直接拒绝进入，这种机制不仅简单高效，而且完全内置于系统，不存在授权费用或第三方依赖问题,是中小型企业及运维团队的首选方案。
Linux pam_tally2 原理与核心机制解析
理解PAM Tally的工作逻辑，是正确配置的前提，它并非独立运行的服务，而是PAM框架中的一个模块，挂载在/etc/pam.d/目录下的特定服务配置文件中，当用户尝试通过SSH、控制台或图形界面登录时，PAM模块会被调用,检查该用户的失败计数。
计数规则与锁定策略
模块的核心在于“计数”与“重置”，每一次登录失败，计数器加一；登录成功，计数器归零，管理员可以设定两个关键参数：deny（最大允许失败次数）和unlock_time（锁定解除时间），设置deny=5意味着连续5次错误后账户被锁定；设置unlock_time=600表示10分钟后自动解锁，这种动态锁定机制比永久锁定更人性化，既防止了攻击,又避免了管理员因误操作导致自己也被锁定的尴尬局面。
与faillock模块的演进对比
随着Linux发行版的迭代，RHEL/CentOS 7及以上版本逐渐用
pam_faillock取代了pam_tally2，虽然命令语法略有不同，但核心逻辑一致。pam_tally2主要存在于CentOS 6及更早版本，而pam_faillock支持更细粒度的时间窗口控制，业内专家指出，对于正在维护老旧系统的团队，掌握pam_tally2命令仍是必备技能；而对于新部署的环境，建议直接使用pam_faillock以符合未来兼容性标准。
Linux pam_tally2 配置实操指南
理论归理论，落地配置才是关键，以下以CentOS 6/7为例，展示如何快速启用这一防护机制，整个过程无需重启服务,配置即时生效。
修改PAM配置文件
大多数Linux发行版将登录认证配置集中在/etc/pam.d/system-auth和/etc/pam.d/password-auth文件中，你需要在这两个文件的auth部分添加一行配置。
使用文本编辑器打开文件：
vi /etc/pam.d/system-auth
在auth required pam_env.so行之后,添加以下内容：
auth required pam_tally2.so deny=5 unlock_time=600 even_deny_root root_unlock_time=300
这里有一个关键细节：even_deny_root参数，默认情况下，PAM模块可能忽略root用户的失败计数，加上此参数后，即使是超级管理员，连续输错5次密码也会被锁定。root_unlock_time=300则专门设定root用户的解锁时间为5分钟，比普通用户稍短,以应对紧急恢复场景。
验证配置与查看状态
配置保存后，你可以使用pam_tally2命令查看当前用户的锁定状态。
查看特定用户的失败次数：
pam_tally2 --user=your_username
输出示例：
Login Failures Latest failure From your_username 3 02/10/24 10:00:00 192.168.1.100
如果看到Failures列不为0,说明该用户已被部分锁定或接近锁定阈值。
手动解锁账户
如果管理员自己不小心被锁定了，或者发现正常用户被恶意攻击锁定，可以使用--reset参数手动清零计数。
pam_tally2 --user=your_username --reset
执行后，再次查询，Failures将变为0，用户恢复正常登录权限，这一操作是故障排查中的常用手段,务必熟练掌握。
Linux pam_tally2 常见问题与优化建议
在实际生产环境中，单纯配置锁定机制可能引发新的问题，如合法用户因键盘误触被锁定,或攻击者通过分布式IP绕过单一IP限制。
日志监控与告警集成
pam_tally2本身只负责计数和锁定，不发送告警，为了及时发现攻击，建议将PAM日志接入监控系统，Linux的/var/log/secure或/var/log/auth.log会记录每次认证失败，通过编写简单的脚本或使用ELK栈，当检测到某IP在短时间内产生大量pam_tally2相关日志时，自动触发封禁IP的操作，据统计，多数安全事件在发生后的最初几小时内若未被阻断,损失将呈指数级增长。
与Fail2ban的配合使用
虽然pam_tally2能锁定账户，但它不针对IP，如果攻击者拥有多个IP，他们可以轮流尝试，最佳实践是将pam_tally2与Fail2ban结合使用。Fail2ban监控日志，发现异常IP后调用iptables封禁；pam_tally2则在账户层面进行最后一道防线，这种双层防护架构,能抵御绝大多数自动化扫描和暴力破解工具。
Linux pam_tally2 价格与成本分析
对于预算敏感的企业，软件成本是一个重要考量。pam_tally2作为Linux内核的一部分，完全免费开源，这意味着你无需支付任何许可证费用，也无需担心版本升级带来的兼容性陷阱，相比之下，商业防火墙或高级身份验证网关往往需要按节点或按年付费，据工信部相关数据显示，开源组件在中小型企业基础设施中的采用率逐年上升,主要驱动力正是其零成本和高可控性。
隐性成本与维护难度
虽然软件免费，但配置和维护需要人力成本，错误的配置可能导致管理员被锁在系统之外，造成业务中断，建议在测试环境中充分验证配置，并保留物理控制台或带外管理（IPMI/iDRAC）的访问权限，以防远程锁定无法解锁，随着系统升级，模块名称可能从tally2变为faillock，运维人员需保持对技术文档的关注,避免因命令失效导致安全策略失效。
FAQ: Linux pam_tally2 常见疑问解答
Linux pam_tally2 和 pam_faillock 有什么区别？
pam_tally2是旧版模块，主要用于CentOS 6及更早版本，命令为pam_tally2。pam_faillock是新版模块，用于RHEL/CentOS 7+，命令为faillock，两者功能相似，但faillock支持更复杂的时间窗口逻辑，且不再维护tally2，新系统应优先使用faillock。
如何防止root用户被pam_tally2锁定？
在配置中移除even_deny_root参数，即可让root用户不受失败次数限制，但出于安全考虑，不建议这样做，因为root被暴力破解的后果更为严重，更好的做法是禁用root远程登录，改用普通用户sudo提权,并对普通用户启用锁定机制。
pam_tally2 锁定后，用户还能看到错误提示吗？
可以，当用户被锁定时，登录界面通常会提示“Account locked”或类似信息，这有助于合法用户意识到账户异常，但也可能被攻击者利用来探测哪些账户存在，在极高安全要求场景下，可配置PAM返回通用错误信息，不区分“密码错误”和“账户锁定”。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/linux-pam-tally%e5%a6%82%e4%bd%95%e9%85%8d%e7%bd%ae%ef%bc%9flinux-pam%e6%a8%a1%e5%9d%97%e8%af%a6%e8%a7%a3/
