在/etc/pam.d/sshd配置文件中，添加以下配置：

auth required pam_tally2.so deny=3 unlock_time=3600 even_deny_root root_unlock_time=3600

  deny=3 代表尝试登录的次数，超过设定次数后会执行后续的动作。（触发策略后锁定的是用户）

  这里的time参数以秒为单位。

even_deny_root 代表root账户也适用此策略。

这里要注意添加此配置的行数，如果添加在末尾是不生效的，这里我把他添加到第二行。

截图如下：

使用 pam_tally2 -u [username] 可以查看该用户是否被锁定。

使用pam_tally2 -u [username] -r 可以清除被锁定的用户。

PS ： 在/etc/pam.d/目录下还存在一个login文件，此文件是限制tty登录的，而/etc/pam.d/sshd文件是限制vty登录的。