Aveți nevoie de ajutor cu Google Authenticator pe ubuntu

Am Ubuntu 20.04.3 LTS unde am instalat cu succes Google authenticator pentru autentificare MFA, acum am nevoie de ajutor cu privire la etapele autentificarii, scopul meu este acesta:

1. Dacă un utilizator nu are cheie ssh, atunci la conexiunea SSH, utilizatorul trebuie să introducă mai întâi parola și apoi să introducă cheia de verificare Google pentru a obține acces la sistem.

2. Dacă un utilizator are o cheie ssh, atunci nu este nevoie să introducă o parolă, dar ar trebui să introducă cheia de verificare Google.

Acum este posibil, dacă da, atunci în ce fel de setări trebuie să fac /etc/ssh/sshd_config și /etc/pam.d/sshd

Aici este existenta mea /etc/pam.d/sshd configurație

# Actualizare standard a parolei Un*x.
@include o parolă comună

# Autentificare standard Un*x.
@include common-auth

# Autentificare standard Un*x.
auth required pam_google_authenticator.so nullok user=root secret=/root/totp/${USER}
auth required pam_permit.so

Și iată /etc/ssh/sshd_config fişier

ChallengeResponseAuthentication da
Folosește PAM da
PubkeyAuthentication da
AuthorizedKeysFile .ssh/authorized_keys
PermitRootLogin da
PasswordAuthentication nr
AuthenticationMethods cheie publică, tastatură interactivă

Presupunând că aveți totul instalat corect, de ex. Instalat cu:

sudo apt-get install libpam-google-authenticator

Și am primit un cod cu

google-authenticator

Și există un cod în folderul dvs. de acasă la

ls /home/$USER/.google_authenticator

Apoi ar trebui să adăugați următoarele două linii în /etc/pam.d/sshd

...

# Actualizare standard a parolei Un*x.
@include o parolă comună
auth required pam_google_authenticator.so
auth required pam_permit.so

...

Sau dacă doriți ca MFA să fie opțional pentru unii utilizatori

...

# Actualizare standard a parolei Un*x.
@include o parolă comună
auth required pam_google_authenticator.so nullok
auth required pam_permit.so

...

În modificarea fișierului /etc/ssh/sshd_config:

ChallengeResponseAuthentication da

Atunci:

sudo systemctl reporniți sshd.service

Când testați, nu vă opriți conexiunea ssh porniți unul nou, dacă configurația este greșită, puteți fi blocat