Linux物理终端多次验证失败封禁依赖pam_faillock模块，需在/etc/pam.d/login中按序配置三行auth规则，deny=3和unlock_time=600控制3次失败后锁定10分钟，root默认不受限。
Linux系统对物理终端（如tty1–tty6、Ctrl+Alt+F1～F6）的多次验证失败封禁，核心依赖PAM框架中的 pam_faillock 模块，而非fail2ban（后者主要监控日志，不适用于本地console登录的实时拦截）。关键在于：物理终端登录由 login 程序处理，其PAM配置独立于SSH，必须单独配置。
确认并启用pam_faillock支持
主流发行版（RHEL/CentOS 7+、Ubuntu 20.04+、Debian 11+）默认已安装pam_faillock。验证是否可用：
- 运行
ls /lib/security/pam_faillock.so或find /lib -name "pam_faillock.so" 2>/dev/null，有输出即支持 - 检查
login是否使用PAM：ldd $(which login) | grep pam，应有类似libpam.so.0的输出
修改login服务的PAM配置
编辑 /etc/pam.d/login，在文件顶部添加以下三行（顺序不可颠倒）：
auth [default=ignore] pam_faillock.so preauth silent deny=3 unlock_time=600auth [default=die] pam_faillock.so authfail deny=3 unlock_time=600auth [default=ok] pam_faillock.so authsucc
说明：
– deny=3 表示5分钟内（默认fail_interval为300秒）连续失败3次触发锁定
– unlock_time=600 表示锁定持续10分钟（单位秒）
– 这三行分别对应“预检”“失败判定”“成功重置”三个阶段，缺一不可
确保system-auth或common-auth未冲突覆盖
部分系统（如Debian/Ubuntu）会通过common-auth间接调用system-auth。若已在此类文件中配置了pam_faillock，需检查是否与login配置重复或冲突：
- 查看
/etc/pam.d/common-auth是否已有pam_faillock行；如有，确认其deny和unlock_time值一致，避免策略叠加导致误锁 - 若仅想限制物理终端（不涉及SSH或GUI），建议只在
/etc/pam.d/login中配置，其他服务保持默认
测试与验证方法
不要用当前登录的tty测试（可能被锁死），推荐：
- 另开一个物理终端（如Ctrl+Alt+F2），用目标用户反复输错密码3次以上
- 等待10秒后再次尝试登录，应立即返回
Authentication failure且无密码提示 - 用命令
faillock --user username查看锁定状态，输出中含Failures total和Lock until字段即生效 - 手动解锁：
sudo faillock --user username --reset
注意：root账户默认不受pam_faillock影响（除非显式加even_deny_root参数），这是安全设计——避免管理员被锁在系统外。如确需锁定root，请在上述配置行末尾添加 even_deny_root，但务必提前配置好带密钥的SSH备用通道。
