Ограничение числа попыток входа пользователя

Задался я идеей ограничить число попыток ввода пароля для пользователя и зашел в тупик. Сначала использовал
[console]faillog -u testuser -m 3[/console]
Выдает, что все норм
[console]Уч.запись Неуд. попыток Максимум Последний раз

testuser 0 3 01/01/70 03:00:00 +0300 [/console]
Но можно ввести хоть 10 раз неправильно пароль, все равно под этим пользователем можно будет войти.
Другой вариант, как это сделать, так это используя PAM. Точнее модуль pam_tally, который как раз и ограничивает число попыток. Сколько не искал в конфигурационных файлах, так я его там и не нашел. Единственное упоминание о нем нашлось только в /ect/login.defs

# Enable logging and display of /var/log/faillog login failure info.
# This option conflicts with the pam_tally PAM module.
#
FAILLOG_ENAB yes

Хм.. Получается, что они не дружат. Ладно, убираю логирование и пробую напрямую прописать в /etc/pam.d/login и на всякий случай в /etc/pam.d/common-auth

auth required pam_tally.so onerr=succeed per_user deny=3

Но опять все входят. Подскажите, может я что то не так и не туда пишу?

"reistlin" написал:

Но можно ввести хоть 10 раз неправильно пароль, все равно под этим пользователем можно будет войти.

А представьте какой то вася 3-4 раза неправильно пароль введет. А вы потом воити не сможете. Для защиты от перебора лучше установить минутную задержку.

в /etc/pam.d/login

auth     required     pam_tally.so  deny=3

Вроде разобрался. Все как всегда из-за невнимательности, просто не заметил другое правило, которое стояло выше моего и соответственно его отменяло. Кстати, если использовать графическую систему, то править конфиг надо в /etc/pam.d/gdm3 для Gnome и вроде в /etc/pam.d/kdm3 для KDE (у самого гном стоит).
Насчет перебора возможны вы и правы, но всегда можно зайти под рутом (предварительно сделав faillog -u root -m 0) и выполнить
[console]faillog -u testuser -r[/console]

сбросив счетик неудачных попыток входа.
Опять же, если использовать графическую среду, то надо разрешить вход для рута (что конечно не очень хорошо), закомментив в /etc/pam.d/gdm3

# auth required pam_succeed_if.so user != root quiet_success