SSH 登錄時(shí)出現(xiàn)如下錯(cuò)誤：Maximum amount of failed attempts was reached

注意：本文相關(guān)配置及說(shuō)明已在 CentOS 6.5 64 位操作系統(tǒng)中進(jìn)行過(guò)測(cè)試。其它類(lèi)型及版本操作系統(tǒng)配置可能有所差異，具體情況請(qǐng)參閱相應(yīng)操作系統(tǒng)官方文檔。

問(wèn)題描述

登錄 Linux 服務(wù)器時(shí)，即便輸入了正確的密碼，也無(wú)法正常登錄。該問(wèn)題出現(xiàn)時(shí)，管理終端 或 SSH 客戶(hù)端其中一種方式可以正常登錄，或者兩種方式均無(wú)法正常登錄。同時(shí)，secure 日志中出現(xiàn)類(lèi)似如下錯(cuò)誤信息：

Your account is Locked. Maximum amount of failed attempts was reached.

問(wèn)題原因

多次連續(xù)錯(cuò)誤輸入密碼，觸發(fā)系統(tǒng) PAM 認(rèn)證模塊策略限制，導(dǎo)致用戶(hù)被鎖定。

處理辦法

pam_tally2 模塊可用于賬戶(hù)策略控制。要解決此問(wèn)題，請(qǐng)進(jìn)行如下配置檢查：

通過(guò) SSH 客戶(hù)端或 管理終端 登錄服務(wù)器。

通過(guò) cat 等指令查看異常登錄模式，對(duì)應(yīng)的 PAM 配置文件。說(shuō)明如下：

注：每個(gè)啟用了 PAM 的應(yīng)用程序，在 /etc/pam.d 目錄中都有對(duì)應(yīng)的同名配置文件。例如，login 命令的配置文件是 /etc/pam.d/login，可以在相應(yīng)配置文件中配置具體的策略。

檢查前述配置文件中，是否有類(lèi)似如下配置信息：

auth        requeired    pam_tally2.so  deny=5 lock_time=30 unlock_time=10 even_deny_root root_unlock_time=10

相關(guān)參數(shù)簡(jiǎn)要說(shuō)明:

deny=5     表示連續(xù) 5 次錯(cuò)誤輸入密碼，則賬戶(hù)會(huì)被鎖定。

lock_time=30   表示鎖定 30 秒。

unlock_time=10 表示賬戶(hù)被鎖后，10秒后自動(dòng)解鎖。

even_deny_root       表示 root 用戶(hù)在認(rèn)證出錯(cuò)時(shí)，同樣也會(huì)被鎖定。

注意： 該策略啟用后，一旦用戶(hù)被鎖定，只能等待解鎖，或者使用單用戶(hù)模式重新引導(dǎo)系統(tǒng)嘗試解鎖用戶(hù)。

root_unlock_time=10     表示如果是 root 用戶(hù)被鎖定，則鎖定 10 秒。

相關(guān)策略可以提高服務(wù)器的安全性。請(qǐng)用戶(hù)基于安全性和易用性權(quán)衡后，再確定是否需要修改相關(guān)配置。

可以使用如下指令解鎖被鎖定的非root用戶(hù)（alicloud是待解鎖用戶(hù)名）： 

pam_tally2 --user alicloud --reset

如果需要修改相關(guān)策略配置，在繼續(xù)之前建議進(jìn)行文件備份。

使用 vi 等編輯器，按需修改相關(guān)參數(shù)值，或者整個(gè)刪除或注釋?zhuān)ㄔ谧铋_(kāi)頭添加 # 號(hào)）整行配置。比如：

# auth        requeired    pam_tally2.so  deny=5 lock_time=30 even_deny_root root_unlock_time=10

嘗試重新登錄服務(wù)器。