1. 安装软件包#

1
sudo dnf install -y epel-release   # RHEL 上如果装不了，用：
2
# sudo dnf install -y https://dl.fedoraproject.org/pub/epel/epel-release-latest-9.noarch.rpm
3
sudo dnf install -y google-authenticator qrencode

2. 为要登录的用户生成密钥（用该用户身份执行，不要用 sudo）#

1
google-authenticator -t -d -f -r 3 -R 30 -w 3

1. 终端会显示一个二维码和几个应急恢复码。在 Microsoft Authenticator 里点扫这个二外码，会自动生成和 hostname 名称相同的令牌。
2. 应急码要另外保存好。密钥写在 ~/.google_authenticator 里。

3. 配置动态密码登录#

⚠️ 开始前先另外开一个 root 的 SSH 会话，并且全程不要关掉。 配置出错时可以用它回滚，避免让自己也无法登录。

1. 编辑 /etc/pam.d/sshd，在 auth substack password-auth 这一行上方增加如下配置

1
auth required pam_google_authenticator.so

2. 配置 sshd，在 /etc/ssh/sshd_config.d/ 下新建一个文件，叫做40-mfa.conf，填入

1
KbdInteractiveAuthentication yes
2
UsePAM yes
3
AuthenticationMethods keyboard-interactive

其中AuthenticationMethods keyboard-interactive表示同时启用密码和动态密码登录，如果需要使用密钥+动态码，可以修改为AuthenticationMethods publickey,keyboard-interactive；

如果使用密钥+动态密码的认证形式，还需要在/etc/pam.d/sshd 里注释掉 auth substack password-auth，否则登录时仍然会要求输入密码。

4. 检查配置并重启 sshd#

1
sudo sshd -t && sudo systemctl restart sshd

然后新开一个终端测试登录，应该会先提示 Password:（或者直接用密钥认证），再提示 Verification code:，如图：

1. 确保时间同步正确#

虚拟机的时间必须准确，TOTP 依赖时间同步。用 timedatectl 确认 System clock synchronized: yes，没有同步的话启用 chronyd。 在内网环境里可以先搭建一个 NTP 服务器从权威 NTP 获取时间，然后内网服务器从这台内部 NTP 中同步时间

2. 豁免用户#

如果想要让尚未完成 mfa 配置的用户能正常登录，可以在

1
auth required pam_google_authenticator.so

这行配置最后，增加nullok，这样就只有已经完成 mfa 配置的用户强制使用动态密码，尚未配置的用户仍可以正常登录；不过最佳实践是直接强制开启动态密码，尚未配置的用户让管理员手动用su - <username>切换用户，生成二维码，然后给用户来扫。