如何为 ssh 添加双因素身份验证？

Question

我正在尝试使用 oathtool 包中的 PAM 将 2FA 添加到 sshd。我想要两种方式登录服务器：

• 公钥和 2FA，或
• 密码和 2FA

到目前为止，我已成功将 2FA 添加到公钥认证中，​​但不知道如何将密码与 2FA 结合起来。

我的 sshd_config (OpenSSH_6.6p1、OpenSSL 1.0.1g 2014 年 4 月 7 日)：

AuthenticationMethods publickey,keyboard-interactive:pam password,keyboard-interactive:pam
ChallengeResponseAuthentication yes
PasswordAuthentication yes
UsePAM yes

PAM sshd：

auth required pam_oath.so usersfile=/etc/users.oath window=30

但是这个配置没有意义：当我尝试使用密码+2FA 登录时，我两次要求输入 F2A（一次作为密码，第二次作为 OATH）。