SSH登录启用Google二次身份验证

一般来说，使用ssh远程登录服务器，只需要输入账号和密码，显然这种方式不是很安全。为了安全着想，可以使用GoogleAuthenticator(谷歌身份验证器)，以便在账号和密码之间再增加一个验证码，只有输入正确的验证码之后，再输入密码才能登录。这样就增强了ssh登录的安全性。账号、验证码、密码三者缺一个都不能登录，即使账号和密码正确，验证码错误，同样登录失败。其中，验证码是动态验证码，并且是通过手机客户端自动获取（默认每隔30秒失效一次）。

1、Google Authenticator依赖时间与客户端进行校验，因此首先得把服务器时间更新至最新

# ntpdate time.nist.gov

2、安装或更新repo

# yum install epel-release -y

3、安装Google Authenticator

# yum install google-authenticator -y

4、为当前用户开启两步验证

注意：哪个账号需要动态验证码，请切换到该账号下操作。（可以在不同用户下执行这个命令以生成各自的二次验证码）

# google-authenticator

Do you want authentication tokens to be time-based (y/n) y
https://www.google.com/chart?chs=200x200&chld=M|0&cht=qr&chl=otpauth://totp/root@BJLX_NET_TEST-01%3Fsecret%3DCGB5NWP6SABN3TM7          

#这个链接只能在FQ条件下才能打开

Your new secret key is: CGB5NWP6SABN3TM7    #如果在手机的谷歌身份验证器上不想通过"扫描条形码"的方式添加，就输入这个key，通过"手动输入验证码的方式"。账号就是服务器主机名。
Your verification code is 730249
Your emergency scratch codes are:      #下面会生成5个紧急验证码(当无法获取动态验证码或验证码不能使用使用可以使用这5个)
66151894                                          #需要注意的是：这5个验证码用一个就会少一个！请保存好！
91475582
37383236
70667696
70522112

Do you want me to update your "/root/.google_authenticator" file (y/n) y       #提示是否要更新验证文件，选择y ，以上5个验证码保存在此文件中

Do you want to disallow multiple uses of the same authentication
token? This restricts you to one login about every 30s, but it increases
your chances to notice or even prevent man-in-the-middle attacks (y/n) y     #禁止使用相同口令

By default, tokens are good for 30 seconds and in order to compensate for
possible time-skew between the client and the server, we allow an extra
token before and after the current time. If you experience problems with poor
time synchronization, you can increase the window from its default
size of 1:30min to about 4min. Do you want to do so (y/n) n          #默认动态验证码在30秒内有效，由于客户端和服务器可能会存在时间差，可将时间增加到最长4分钟，是否要这么做：这里选择是n，继续默认30秒

If the computer that you are logging into isn't hardened against brute-force
login attempts, you can enable rate-limiting for the authentication module.
By default, this limits attackers to no more than 3 login attempts every 30s.
Do you want to enable rate-limiting (y/n) y        #是否限制尝试次数，每30秒只能尝试最多3次，这里选择y进行限制

5、修改SSH配置文件来启用两步验证，并重启SSH服务

# vim /etc/pam.d/sshd  (增加)

auth required pam_google_authenticator.so

# vim /etc/ssh/sshd_config (修改为yes)

ChallengeResponseAuthentication yes

# systemctl restart sshd

6、手机安装Google身份验证器，通过此工具扫描上一步生成的二维码图形，获取动态验证码。
在App Store或Google Play里直接可以下载Authenticator

7、进行登陆验证

[root@lenovo28 ~]# ssh 10.35.56.58
Verification code:
Password:

成功！

接着在ssh的客户端里设置，如下，设置"Keyboard Interactive"方式登录

 

然后再次连接的时候，就会提示先输入二次身份验证码，再输入用户密码。