pam_tally2 adiciona um login extra com falha

Question

Estou tentando usar pam_tally2 em /etc/pam.d galaxy

Eu altero o sshd para o seguinte conteúdo

#%PAM-1.0
auth     required       pam_securetty.so
auth     required       pam_tally2.so deny=3 unlock_time=600
auth     required       pam_env.so
auth     required       pam_unix.so
auth     required       pam_nologin.so
account  required       pam_unix.so
password required       pam_unix.so
session  required       pam_limits.so
session  required       pam_unix.so
session  required       pam_lastlog.so nowtmp
session  optional       pam_mail.so standard

Eu criei uma conta de teste; antes do login, testei a contagem de login com falha:

pam_tally2 -u tst3402
(empty)

agora faço login usando a senha correta (isso é feito por um script expect , a senha é como aaa12BBB, )

spawn ssh -l tst3402 172.9.2.1
Password:
No mail.
Last login: Tue Mar 20 14:25:17 2018 from 172.2.2.2
tst3402@hostname:~>

status OK

onde

• O status OK é enviado por expect

Volto a verificar a contagem de falhas

pam_tally2 -u tst3402
Login           Failures Latest failure     From
tst3402             1    03/20/18 14:25:17  172.2.2.2

Isso implica que após 3 logins bem-sucedidos, a conta está bloqueada.

Pergunta

porque depois de um login bem-sucedido, pam_tally2 vê 1 falha?

suspeito habitual:

• Eu sei que posso usar chaves ssh, mas estou sob a maldição do ISAE3420

• usando ssh -vvv -l ... vejo duas trocas .. eu deveria ver 2 falhas?

  debug3: send packet: type 50
  debug3: receive packet: type 51
  

• não há SELinux

• Não encontrei nenhuma pergunta pam_tally2 em security.SE