给 SSH 登录加动态口令：两步验证配置

发布时间:2026-07-22 10:37

## 适用场景 口令泄露、设备被装键盘记录器，静态凭据一旦失守服务器即失守。给 SSH 叠加基于时间的一次性口令，登录时既要密钥或口令，又要手机上六位动态码，单点泄露不再等于系统沦陷。顺云云服务器暴露公网二十二端口的，两步验证值得尽早部署。 ## 步骤清单 先装认证模块的运行时与命令行工具。以常见方案为例分四步：为目标用户初始化令牌，命令会生成二维码与应急码；在认证配置里插入动态口令模块；在服务配置里启用键盘交互认证并把认证方式改为组合要求；重启服务。 ``` google-authenticator -t -d -f -r 3 -w 1 auth required pam_google_authenticator.so KbdInteractiveAuthentication yes AuthenticationMethods publickey,keyboard-interactive ``` 配置建议组合式要求：公钥加动态码，公钥失效时退到口令加动态码，两条腿都断才进不去。 ## 验证方法 开一个新会话测试完整登录流程，输入动态码确认放行，再故意输错一次确认拒绝。原会话保持不退出，直到新方式验证无误。手机换机时用既有会话重新初始化令牌并绑定新设备。 ## 注意事项 应急码是最后的保底，初始化输出时务必离线保存，手机丢失时它是唯一的自救通道。多台服务器可用同一令牌绑定，减少每台一个码的负担，但要意识到单码失守影响范围变大。服务器时间漂移会导致动态码对不上，先确认 NTP 正常再排查认证问题。 密钥登录与动态码的组合还有一层讲究：应急通道的设计。至少保留一台机器、一个账号支持密钥加口令的组合，动态码服务故障时它是不依赖手机的入口。这条通道平时封存、定期演练，确保真需要时可用。 团队推广的节奏建议先试点后铺开：挑两三台机器给值班团队试用两周，收集习惯与问题，把认证配置、应急码保管、换机流程写成操作卡，再全量推行。配套的监控也要跟上：认证失败率、动态码错误率纳入观察，异常模式能早发现。顺云云服务器批量部署时用镜像预装认证模块，剩下的只是逐账号初始化。