Início / user-79818

Archemar's questions

Martin Hope
Archemar
Asked: 2018-03-21 06:34:10 +0800 CST
  • 3

estou tentando usar pam_tally2no /etc/pam.dgalaxy

Eu mudo o sshd para o seguinte conteúdo

#%PAM-1.0
auth     required       pam_securetty.so
auth     required       pam_tally2.so deny=3 unlock_time=600
auth     required       pam_env.so
auth     required       pam_unix.so
auth     required       pam_nologin.so
account  required       pam_unix.so
password required       pam_unix.so
session  required       pam_limits.so
session  required       pam_unix.so
session  required       pam_lastlog.so nowtmp
session  optional       pam_mail.so standard

Criei uma conta de teste; antes do login, testei a contagem de login com falha:

pam_tally2 -u tst3402
(empty)

agora eu logo usando a senha correta (isso é feito por um expectscript, a senha é como aaa12BBB,)

spawn ssh -l tst3402 172.9.2.1
Password:
No mail.
Last login: Tue Mar 20 14:25:17 2018 from 172.2.2.2
tst3402@hostname:~>

status OK

Onde

  • status OK é enviado porexpect

Eu verifico novamente a contagem de falhas

pam_tally2 -u tst3402
Login           Failures Latest failure     From
tst3402             1    03/20/18 14:25:17  172.2.2.2

Isso implica que, após 3 logins bem-sucedidos, a conta é bloqueada.

Pergunta

por que após um login bem-sucedido, há pam_tally21 falha?

suspeito habitual:

  • Eu sei que posso usar chaves ssh, mas estou sob a maldição do ISAE3420

  • usando ssh -vvv -l ... vejo duas trocas .. devo ver 2 falhas?

    debug3: send packet: type 50
debug3: receive packet: type 51

  • não existe SELinux

  • Não encontrei nenhuma pergunta pam_tally2 em security.SE

security pam