공개키, 비밀번호, OTP의 세 가지 구성요소를 모두 사용하여 SSH 인증을 구성하는 방법

Question

몇 번 시도한 끝에 감사합니다.이 게시물pam_faillock.so, 로깅 시도를 확인하고 필요한 경우 사용자를 잠그는 솔루션에 추가할 수 있습니다 .

조심하세요아래 인증 관련 파일을 편집할 때 언제나백업을 해라파일의 첫 번째. 그리고하나의 루트 세션을 활성 상태로 유지하는 것을 기억하십시오을 클릭하고 다른 세션에서 로그인을 테스트하세요.

내 구성 파일을 살펴보겠습니다.

첫 번째: /etc/pam.d/common-auth모든 종류의 로그인 방법에 적용하려면 편집하세요.

auth    requisite       pam_faillock.so preauth audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=1]     pam_unix.so try_first_pass
auth    [default=die]   pam_faillock.so authfail audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=2]     pam_google_authenticator.so nullok echo_verification_code  [authtok_prompt=Enter your OTP:]
auth    sufficient      pam_faillock.so authsucc audit deny=5 fail_interval=120 unlock_time=1800
auth    requisite       pam_deny.so
auth    required        pam_permit.so

한 줄씩 설명하면 다음과 같습니다.

와 pam_faillock.so함께 사용하면 사용자의 상태를 확인할 수 있습니다. 사용자가 잠겨 있으면 비밀번호 프롬프트가 표시되지 않습니다. 체크인할 수 있는 일부 구성이 뒤따릅니다.preauthrequisitefaillock여기.
pam_unix.so사용자의 비밀번호를 확인하는데 사용합니다 . [success=1]비밀번호가 정확하면 다음 줄을 건너뜁니다. try_first_pass첫 번째 단계의 입력을 사용합니다.
pam_faillock.sowith 는 authfail실패한 시도를 기록하고 인증 프로세스가 더 이상 진행되지 않도록 합니다 [default=die]. 사용자가 어디에서 오류가 발생했는지(비밀번호 또는 OTP) 모르도록 하려면 라인 3과 4를 바꿉니다.
pam_google_authenticator.soOTP를 확인하는데 사용합니다 . 더 많은 정보를 확인하실 수 있습니다여기. [success=2]OTP가 정확하면 다음 두 줄을 건너뜁니다.
pam_faillock.so표시가 있는 authsucc이 시도는 좋은 시도이며 잘못된 시도 기록을 지워 사용자가 더 많은 작업을 수행할 수 있도록 합니다.
pam_deny.so을 사용하면 requisite로그인 시도가 거부됩니다. 따라서 정보가 정확하면 위의 일부 줄은 이 줄을 건너뜁니다.
pam_permit.so위의 모든 확인을 마친 후 액세스를 허용하면 됩니다.

두번째: /etc/pam.d/common-account사용하려면 다음 줄을 편집하고 추가하세요 faillock.

account required        pam_faillock.so

제삼: /etc/pam.d/sshdSSH 연결을 위해 편집합니다. 저는 기본 구성에서 아무것도 변경하지 않았으며 여러분이 비교할 수 있도록 여기에 나열했습니다.

@include common-auth
account    required     pam_nologin.so
@include common-account
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so close
session    required     pam_loginuid.so
session    optional     pam_keyinit.so force revoke
@include common-session
session    optional     pam_motd.so  motd=/run/motd.dynamic
session    optional     pam_motd.so noupdate
session    optional     pam_mail.so standard noenv # [1]
session    required     pam_limits.so
session    required     pam_env.so # [1]
session    required     pam_env.so user_readenv=1 envfile=/etc/default/locale
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so open
@include common-password

네번째: /etc/ssh/sshd_configSSH 세션을 구성하려면 편집하세요.

Include /etc/ssh/sshd_config.d/*.conf
MaxAuthTries 5
MaxSessions 1
PubkeyAuthentication yes
PasswordAuthentication yes
PermitEmptyPasswords no
KbdInteractiveAuthentication yes
UsePAM yes
X11Forwarding yes
PrintMotd no
ClientAliveInterval 60
ClientAliveCountMax 15
AcceptEnv LANG LC_*
Subsystem       sftp    /usr/lib/openssh/sftp-server
AuthenticationMethods publickey,keyboard-interactive

일부 주요 항목:

KbdInteractiveAuthentication= 방법을 yes사용하는 것 입니다 keyboard-interactive. ChallengeResponseAuthentication이에 대한 더 이상 사용되지 않는 별칭입니다.
UsePAMyes위의 모든 PAM 구성을 사용하려면 로 설정해야 합니다.
에서는 비밀번호와 OTP 프롬프트 둘 다에 대해서만 AuthenticationMethods선언합니다 .keyboard-interactive

파일 을 편집한 후 서비스 sshd_config를 다시 로드하여 sshd새 구성을 업데이트하세요.

systemctl reload sshd

이렇게 하면 모든 항목을 확인할 수 있습니다 public key + password (of the user) + OTP.

Answer 1