一、为什么需要双因素认证？

双因素认证(2FA)要求用户提供两种不同类型的凭证来验证身份，通常是：

• 你知道的东西（密码）
• 你拥有的东西（手机或硬件令牌）

这种方法可以防止即使密码泄露也能保护您的服务器。

二、准备工作

在开始配置前，请确保：

1. 拥有root或sudo权限
2. 已安装Google Authenticator应用（iOS/Android）
3. 服务器可以访问互联网以下载必要软件包

三、详细配置步骤

1. 安装Google Authenticator PAM模块

对于Ubuntu/Debian系统：

sudo apt update
sudo apt install libpam-google-authenticator

对于CentOS/RHEL系统：

sudo yum install epel-release
sudo yum install google-authenticator

2. 生成认证密钥

运行以下命令并按提示操作：

google-authenticator

此命令会生成：

• 二维码（可用手机扫描）
• 紧急备用代码（务必安全保存）
• 配置选项

3. 配置SSH使用2FA

编辑PAM配置：

sudo nano /etc/pam.d/sshd

在文件末尾添加：

auth required pam_google_authenticator.so

修改SSH配置：

sudo nano /etc/ssh/sshd_config

确保以下设置：

ChallengeResponseAuthentication yes
UsePAM yes

4. 重启SSH服务

sudo systemctl restart sshd

四、测试与故障排除

测试登录时应该：

1. 首先输入密码
2. 然后输入Google Authenticator生成的6位验证码

常见问题解决：

• 时间同步问题：确保服务器和手机时间准确
• 备份代码：保存好紧急代码以防手机丢失

五、高级配置选项

1. 仅对特定用户启用2FA：

auth [success=done new_authtok_reqd=done default=ignore] pam_google_authenticator.so nullok users=/etc/2fa_users

2. 设置紧急访问方式（如备用SSH密钥）

3. 考虑使用硬件令牌（如YubiKey）替代手机应用