Tomcat: maximale Anmeldeversuche einschränken (funktioniert nicht)

[Kosta.Kos]

Hallo Leute,

ich habe ein Problem mit der Anmeldung an Tomcat via "Basic Auth" oder "Form-Based-Auth".
Ich möchte die Anzahl der nicht erfolgreichen Anmeldeversuche limitieren. Dafür habe ich einen Realm in der Tomcat server.xml erweitert.


Auszug aus server.xml:
<Realm className="org.apache.catalina.realm.LockOutRealm" failureCount="5" lockOutTime="60" >

Auszug aus web.xml:
<login-config>
<auth-method>FORM</auth-method>
<form-login-config>
<form-login-page>/login.html</form-login-page>
<form-error-page>/error.html</form-error-page>
</form-login-config>
</login-config>


Durch das Attribut "failureCount" will ich erreichen, dass ich ab dem sechsten Anmeldeversuch automatisch auf meine "error-page" verweise, welche ich in der web.xml meiner Anwendung zugewiesen haben.
Leider funktioniert das nicht.

Bei "Basic-Auth" kann kommt das Anmelde-Fenster ca. 30 mal, bevor ich weitergeleitet werde und bei "Form-Based-Auth" werde schon nach dem ersten fehlerhaften Anmeldeversuch weitergeleitet zur "error-page" .

Habt ihr eine Idee?

Schöne Grüße
Kosta

 

[unicorn667]

Alternativ Vorschlag

https://asciilog.wordpress.com/2015/05/25/using-fail2ban-with-tomcat/