使用 ssh 配置 pam 以进行 2 因素身份验证

Question

我正在尝试使用我的自定义半径服务器配置 ssh 以进行身份​​验证。

所以我想要的是，首先它应该使用当前的 ssh 登录（unix 登录）进行身份验证，然后提示用户输入半径的第二个密码。

我正在设置 /etc/pam.d/sshd 如下

auth        required    pam_unix.so debug

**auth       sufficient   /lib/security/pam_radius_auth.so  debug conf=/home/pam_radius try_first_pass**

但是我的第一次身份验证根本没有发生。它立即适用于半径。

根据 pam_radius ..try_first_pass

....如果之前没有密码，或者之前的密码验证失败，提示用户“输入 RADIUS 密码：”，并要求输入另一个密码。试试这个密码，并根据需要返回成功/失败。

Answer 1

我认为你的ssh登录失败，然后直接进入radius身份验证。输入 Radius 密码后会发生什么？当我的猜测正确时，无论您为 Radius 身份验证输入正确还是错误的密码，您的身份验证都应该失败。

要进一步调试这个问题，请发布您的调试输出。

您应该禁用 Radius 身份验证以确保 ssh 身份验证正常工作。