pam_tally2 não bloqueia o usuário após tentativas malsucedidas no Ubuntu 14 e 16

Question

Não tenho certeza se esse problema é com pam_tally2 ou com o Ubuntu, que é o que estou tentando descobrir. pam_tally2 por algum motivo está tendo problemas em 14 e 16. Meu arquivo /etc/pam.d/common-auth tem a seguinte aparência:

auth      required      pam_env.so
auth      required      pam_tally2.so deny=5 unlock_time=900 onerr=fail
auth      [success=1 default=ignore]   pam_unix.so nullok_secure
auth      requisite     pam_deny.so
auth      required      pam_permit.so 
auth      optional      pam_cap.so

As duas primeiras linhas que inseri manualmente com base nos fóruns anteriores e na página de manual. (Para fins de teste, mudei deny para =3 e unlock_time para =20 para não fazer testes tão longos).

1. Depois de fazer isso, nada parece ter efeito até que eu reinicie a máquina, o que é diferente do pam, onde normalmente as alterações no pam entram em vigor imediatamente.
2. Após a reinicialização e falha intencionalmente na entrada da senha 3 vezes, sou bloqueado com sucesso por 20 segundos, mas percebo que o contador falhou 4 vezes, embora seja apenas 3. Também tomando nota, ao inserir a senha errada, a mensagem usual exibida é Invalid password, please try again , em texto vermelho e, assim que o sistema estiver bloqueado, a mensagem Account locked due to 4 failed logins, appears in white text .
3. Depois de esperar 20 segundos e inserir a senha correta, ela ainda me falha mais uma vez antes de alterar o texto de falha para o texto vermelho original, mas desbloqueio depois que coloco a senha corretamente novamente. Além disso, o bloqueio de conta parece funcionar apenas no primeiro login após a reinicialização do sistema. Se eu logar corretamente uma vez ou intencionalmente falhar no login, depois disso, poderei fazer o login não importa quantas vezes eu falhe.

Alguns fóruns e blogs dizem que você também precisa colocar:

account     required     pam_tally2.so

dentro do arquivo common-account também

Outros fóruns dizem para colocar a linha mencionada acima, mas com todas as opções que você colocou no arquivo common-auth também. Nenhuma dessas abordagens parece fazer o pam_tally2 funcionar.

Eu também tentei colocar experimentalmente

account     required     pam_env.so

dentro do arquivo common-account como a primeira linha. Isso também não parece funcionar ou mudar alguma coisa.

Eu tentei colocar a linha pam_env.so acima e abaixo de pam_tally2.so em ambos os arquivos em todas as combinações possíveis e isso não parece corrigir o comportamento.

Se alguém souber por que pam_tally2.so não está funcionando ou se é um bug com o Ubuntu, por favor me avise. Obrigado pelo seu tempo.