centos7创建SSH登录二次身份验证

centos7创建SSH登录二次身份验证

目前来说，二次验证(这里就不做过多解释了)是比较常用的安全手段，通过设置二次验证(谷歌或其他工具)，就可以有效的避免账户密码的泄露导致的安全问题。因为，每次登陆前都需要获取一次性验证码，如果没有验证码的话就无法成功登陆。
安装安全模块
###我这里是已经安装好epel源了，没有安装的可以yum -y install epel-release安装一下。
然后安装google安装模块，yum -y install google-authenticator

配置功能，google-authenticator -t -f -d -w 3 -e 10 -r 3 -R 30
参数解释：
生成验证码
哪个账号需要动态验证码，请切换到该账号下操作
-t: 使用 TOTP 验证
-f: 将配置保存到 ~/.google_authenticator 文件里面
-d: 不允许重复使用以前使用的令牌
-w 3: 使用令牌进行身份验证以进行时钟偏移
-e 10: 生成 10 个紧急备用代码
-r 3 -R 30: 限速 - 每 30 秒允许 3 次登录
执行结果：
这里手机是要下载Google身份验证APP的，我没在网上下载。用手机翻墙在google商店下载的。这里附百度网盘链接。
链接：https://pan.baidu.com/s/16mujG6lBkI80y5Pnt6rCfA
提取码：652r
扫描刚才生成的二维码将会生成服务器hostname和验证码。这里无法截屏，app限制。安装以后会发现。。。。
#启用两步验证：
vim /etc/pam.d/sshd
添加下行：
auth required pam_google_authenticator.so # 禁用密码验证
修改sshd_config文件：
vim /etc/ssh/sshd_config
ChallengeResponseAuthentication yes
###这个参数在配置文件有两行，一行yes是注释掉的，一行no是没有注释的。###我这里把no改成了yes

然后重启sshd服务，systemctl restart sshd。
到这里就配置完成了，试试能不能登录。
我用的是SecureCRT,设置一下连接属性，选择一个Keyboard Interactive就可以。点击确定开始第一次连接

双击服务器连接，这里已经要输入验证码才能登陆了。输入刚才身份验证器上对应的主机名称下的数字即可。（主机名字建议装完系统后修改，不然都叫localhost就无法分辨了）