Если IP-адрес из белого списка (csf.allow) использует неправильный пароль более 5 раз, будут ли они автоматически добавлены в csf.deny? Если да, то может ли csf.deny OVERULE csf.allow, чтобы им было отказано в доступе?
Да. csf.allow действительно говорит об этом, и вам нужно добавить их IP-адрес в csf.ignore, чтобы предотвратить его.