failog 命令格式化并显示故障日志 (/var/log/faillog) 的内容并维护故障计数和限制。
必须通过将 pam_tally.so 模块添加到 /etc/pam.d/ 中的相应文件来启用故障日志功能。
以下是设置故障日志实用程序以跟踪失败的登录尝试的步骤。

1. 编辑 /etc/pam.d/system-auth 文件并添加以下几行：

# vi /etc/pam.d/system-auth
auth      required     pam_tally.so no_magic_root
account   required     pam_tally.so deny=2 no_magic_root

2. 通过尝试以普通用户身份登录但使用错误密码来测试配置。
   通过运行以下命令验证失败的计数增量：

# faillog -u [username]

例如，

# faillog
Login    Failures      Maximum      Latest                        On
geek     1             2            05/24/17 15:39:35 +0200       /dev/tty2

faillog 命令仅打印自上次失败以来未成功登录的用户。
要打印自上次失败后成功登录的用户，我们必须使用 -u 选项显式请求该用户。

3. 失败的登录默认以某种特定的二进制格式记录在/var/log/faillog中，实用程序faillog只能解析/var/log/faillog来获取失败的登录。
   我们没有任何选项可以让故障日志读取其他地方的日志。

4. 要再次向失败次数超过限制的用户授予访问权限，请输入：

# faillog -r [user]

我们还可以使用 pam_tally 命令执行相同操作以显示失败尝试的次数：

# pam_tally --user [username]

并重置计数：

# pam_tally --user [username] --reset[=n]