如何使用所有 3 个组件配置 SSH 身份验证：公钥、密码和 OTP

Question

经过一番尝试，并感谢这个帖子，我可以添加pam_faillock.so到我的解决方案中以检查日志记录尝试并在需要时锁定用户。

当心在编辑下面那些与身份验证相关的文件时。总是进行备份首先是文件。和记住保持一个 root 会话处于活动状态，并在另一个会话中测试您的登录。

让我们看看我的配置文件：

第一的：编辑/etc/pam.d/common-auth适用于各种登录方式：

auth    requisite       pam_faillock.so preauth audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=1]     pam_unix.so try_first_pass
auth    [default=die]   pam_faillock.so authfail audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=2]     pam_google_authenticator.so nullok echo_verification_code  [authtok_prompt=Enter your OTP:]
auth    sufficient      pam_faillock.so authsucc audit deny=5 fail_interval=120 unlock_time=1800
auth    requisite       pam_deny.so
auth    required        pam_permit.so

一些逐行解释：

pam_faillock.so与preauth和一起使用requisite将检查用户的状态。如果用户被锁定，则阻止密码提示。接下来是一些faillock您可以签入的配置这里。
用于pam_unix.so检查用户的密码。[success=1]如果密码正确，将跳过下一行。try_first_pass使用第一步的输入。
pam_faillock.sowithauthfail将记录失败的尝试，并阻止身份验证过程进一步进行[default=die]。如果您希望用户不知道哪里出了问题（密码或 OTP），则交换第 3 行和第 4 行。
用于pam_google_authenticator.so检查 OTP。您可以找到更多信息这里。[success=2]如果 OTP 正确，将跳过接下来的两行。
pam_faillock.so带authsucc标记的这次尝试是好的，会清除不良的尝试记录，让用户可以走得更远。
pam_deny.sowithrequisite将拒绝登录尝试。因此，如果信息正确，上面的某些行会跳过此行。
pam_permit.so只需在完成上述所有检查后允许访问即可。

第二：编辑/etc/pam.d/common-account并在开头添加此行以使用faillock：

account required        pam_faillock.so

第三：编辑/etc/pam.d/sshdSSH 连接。我没有对默认配置进行任何更改，只是将其列在这里供大家比较。

@include common-auth
account    required     pam_nologin.so
@include common-account
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so close
session    required     pam_loginuid.so
session    optional     pam_keyinit.so force revoke
@include common-session
session    optional     pam_motd.so  motd=/run/motd.dynamic
session    optional     pam_motd.so noupdate
session    optional     pam_mail.so standard noenv # [1]
session    required     pam_limits.so
session    required     pam_env.so # [1]
session    required     pam_env.so user_readenv=1 envfile=/etc/default/locale
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so open
@include common-password

第四：编辑/etc/ssh/sshd_config配置SSH会话

Include /etc/ssh/sshd_config.d/*.conf
MaxAuthTries 5
MaxSessions 1
PubkeyAuthentication yes
PasswordAuthentication yes
PermitEmptyPasswords no
KbdInteractiveAuthentication yes
UsePAM yes
X11Forwarding yes
PrintMotd no
ClientAliveInterval 60
ClientAliveCountMax 15
AcceptEnv LANG LC_*
Subsystem       sftp    /usr/lib/openssh/sftp-server
AuthenticationMethods publickey,keyboard-interactive

一些关键项目：

KbdInteractiveAuthentication=yes使用keyboard-interactive方法。ChallengeResponseAuthentication是一个已弃用的别名。
UsePAM必须设置为yes使用上面的所有 PAM 配置
在中AuthenticationMethods，我仅声明keyboard-interactive密码和 OTP 提示。

编辑文件后sshd_config，重新加载sshd服务以更新新配置。

systemctl reload sshd

像这样，我可以检查所有public key + password (of the user) + OTP.

Answer 1