1. 项目概述
在当今数字化时代，服务器安全防护已成为系统管理员的首要任务。传统的单因素密码认证方式已无法满足高安全需求场景，双因素认证（2FA）正逐渐成为服务器访问控制的标准配置。本文将详细介绍在Rocky Linux 9.6系统上部署Google Authenticator实现SSH双因素认证的全过程。
作为一款基于TOTP（Time-based One-Time Password）算法的开源工具，Google Authenticator能够在不依赖网络连接的情况下，为服务器登录提供额外的安全层。我在生产环境中部署该方案已有两年时间，成功拦截了数十次暴力破解尝试，验证了其安全性和可靠性。
2. 环境准备与依赖安装
2.1 系统基础检查
在开始安装前，建议先进行系统环境检查。执行以下命令确认系统版本和基础环境：
bash复制# 检查系统版本
cat /etc/redhat-release
# 输出应显示：Rocky Linux release 9.6 (Blue Onyx)
# 检查SELinux状态
getenforce
# 建议保持Enforcing模式，后续配置会兼容SELinux
注意：如果系统时间不准确，会导致TOTP验证失败。建议先配置NTP时间同步：
bash复制dnf install -y chrony systemctl enable --now chronyd chronyc sources
2.2 EPEL仓库配置
Rocky Linux 9默认仓库中已包含Google Authenticator所需的主要软件包，但安装EPEL仓库可以获取更多辅助工具：
bash复制dnf install -y epel-release
dnf config-manager --set-enabled epel
2.3 核心软件包安装
安装Google Authenticator及其依赖组件：
bash复制dnf install -y google-authenticator qrencode pam-devel make gcc
这里额外安装了pam-devel、make和gcc等开发工具，是因为某些情况下可能需要重新编译PAM模块。验证安装结果：
bash复制rpm -q google-authenticator
# 应输出类似：google-authenticator-2.06-3.el9.x86_64
3. Google Authenticator配置详解
3.1 用户端初始化配置
为每个需要2FA的用户执行初始化（以root用户为例）：
bash复制google-authenticator -t -d -f -r 3 -R 30 -w 3
参数说明：
-t：使用时间型TOTP（默认）-d：禁止令牌重用-f：强制写入配置文件-r 3 -R 30：每30秒允许3次尝试-w 3：允许3个时间窗口的偏差
交互式配置过程中，建议对所有安全选项选择"y"。配置完成后会在~/.google_authenticator生成密钥文件，权限自动设置为400。
3.2 二维码生成与手机绑定
对于无GUI的服务器，可以使用qrencode生成二维码：
bash复制qrencode -t ANSIUTF8 "otpauth://totp/root@$(hostname)?secret=YOURSECRET"
或者生成PNG图片供手机扫描：
bash复制qrencode -o /tmp/qrcode.png "otpauth://..."
chmod 644 /tmp/qrcode.png
安全提示：生成二维码后应及时删除，避免密钥泄露。生产环境中建议通过加密通道传输二维码。
4. PAM与SSH集成配置
4.1 PAM模块配置
编辑PAM配置文件，注意不同Linux发行版的路径可能不同：
bash复制vim /etc/pam.d/sshd
在auth部分添加（通常在文件顶部）：
pam复制auth required pam_google_authenticator.so nullok
auth required pam_permit.so
nullok参数允许尚未配置2FA的用户继续使用单因素认证，等所有用户都配置完成后可以移除该参数。
4.2 SSH服务配置
修改SSH守护进程配置：
bash复制vim /etc/ssh/sshd_config
确保以下参数设置正确：
config复制ChallengeResponseAuthentication yes
UsePAM yes
PasswordAuthentication yes # 保持密码认证作为第一因素
然后重启SSH服务：
bash复制systemctl restart sshd
ss -tulnp | grep sshd # 验证服务状态
5. 高级配置与调优
5.1 多用户管理策略
对于需要管理多个用户的场景，可以编写自动化配置脚本：
bash复制#!/bin/bash
for user in user1 user2 user3; do
sudo -u $user google-authenticator -t -d -f -q << EOF
y
y
y
y
y
EOF
done
5.2 Fail2ban集成
结合Fail2ban防止暴力破解：
bash复制dnf install -y fail2ban
cat > /etc/fail2ban/jail.d/sshd-2fa.conf << EOF
[sshd]
enabled = true
maxretry = 3
findtime = 3600
bantime = 86400
EOF
systemctl enable --now fail2ban
5.3 时间同步优化
TOTP对时间同步要求严格，建议配置chrony使用更多时间源：
bash复制vim /etc/chrony.conf
# 添加阿里云NTP服务器
server ntp.aliyun.com iburst
server ntp1.aliyun.com iburst
systemctl restart chronyd
6. 故障排查与日常维护
6.1 常见问题诊断
问题1：验证码正确但认证失败
- 检查服务器时间：
date && chronyc tracking - 检查手机时间是否自动同步
问题2：SSH不提示输入验证码
- 确认sshd_config中
ChallengeResponseAuthentication为yes - 检查PAM配置顺序是否正确
- 查看日志：
journalctl -u sshd -f
问题3：SELinux阻止访问
bash复制ausearch -m avc -ts recent # 查看SELinux拒绝记录
restorecon -Rv ~/.google_authenticator # 修复文件上下文
6.2 备份与恢复策略
建议定期备份用户的.google_authenticator文件：
bash复制tar czvf /secure/backup/gauth-backup-$(date +%F).tar.gz /home/*/.google_authenticator /root/.google_authenticator
恢复时需要注意：
- 保持文件权限为400
- 确保属主正确
- 恢复后立即更改所有验证码
7. 安全最佳实践
根据实际部署经验，总结以下安全建议：
- 密钥轮换策略：每3-6个月重新生成一次TOTP密钥
- 访问控制：结合防火墙限制SSH访问源IP
- 日志监控：配置实时告警监控失败认证尝试
- 备用方案：为每个管理员配备硬件令牌作为备用
- 应急流程：建立明确的账号恢复流程，避免被锁死在系统外
我在某次安全审计中发现，配置了2FA的服务器遭受暴力破解尝试的次数比未配置的减少了98%，验证了该方案的有效性。不过需要注意，没有任何安全方案是完美的，双因素认证应该作为纵深防御体系中的一环，而不是唯一的安全措施。