两者管的对象不同

pam_faillock 是 PAM 认证栈里的一个模块，按「账号」记账：某账号在 fail_interval 时间窗内失败次数达到 deny，该账号即被锁定，unlock_time 内即使口令正确也登录不上。fail2ban 是独立守护进程，按「来源 IP」记账：解析 /var/log/secure 或 /var/log/auth.log，某 IP 在时间窗内失败超过阈值，就调用 iptables、nftables 或 firewalld 封禁该 IP。一个在认证层按账号判定，一个在网络层按来源判定，这是最本质的分工。

为什么两层都要有

口令喷洒式爆破对每个账号只试一两次，永远碰不到单账号的锁定阈值，但来源固定时会很快触发 fail2ban；反过来换大量 IP 分散尝试时，IP 封禁被稀释，faillock 仍能护住被重点攻击的少数账号。faillock 还有一个 fail2ban 给不了的覆盖：本地 tty 登录、su 与 sudo 提权同走 PAM，防火墙完全管不到这些路径。

基本信息

典型使用场景

• 对外暴露 22 端口的服务器：既防单账号撞库，也压住来源 IP 的扫描噪音
• 基线核查：口令失败锁定与来源封禁通常是两条独立检查项，只做一条算未达标
• 仅密钥登录的主机：faillock 价值下降，fail2ban 仍能减少日志噪音
• 本地终端与 su/sudo 场景：只有认证层锁定时能覆盖
• 多机统一策略：把 faillock.conf 与 jail.local 纳入配置管理批量下发

现状核查

faillock | head                       # 列出各账号的失败次数与锁定状态
faillock --user ops --reset           # 解除某账号锁定（误伤时用）
systemctl is-active fail2ban          # fail2ban 是否在运行
fail2ban-client status sshd           # 看该 jail 当前封禁了哪些 IP
iptables -S | grep -i f2b             # fail2ban 自建链是否已生效
grep -Ev '^#|^$' /etc/security/faillock.conf   # 看锁定阈值配置

faillock 阈值配置

deny=5              # 连续失败 5 次开始锁定
unlock_time=900     # 锁 900 秒后自动解锁
fail_interval=900   # 只统计 900 秒窗口内的失败
even_deny_root      # 连 root 一起锁，默认 root 不受限
root_unlock_time=300  # root 锁定时间另设，便于应急登录

两层防护对照