从半不可信机器访问 ssh 服务器的最佳实践/安全方法

Question

我经常需要在国外的客户机器上访问我的家庭 ssh 服务器。目前，我的 ssh 服务器设置为在非标准端口上使用密码身份验证。这很方便，因为我可以只下载 putty/pscp，做我需要做的事。但我担心安全风险。

我考虑过只允许使用密码短语进行 pub/pri 密钥身份验证。但是如果可以避免的话，我真的不想将我的私钥复制到远程机器上。

有没有更好的方法？更安全，但仍然相当方便的东西。

我曾想过设置两个 ssh 服务器，一个暴露在互联网上，另一个只暴露在局域网中。公共服务器将允许密码身份验证，但否则将被锁定以仅允许 ssh 访问内部服务器（通过强制命令或其他方式）。内部服务器将只允许通过使用密码短语的 pub/pri 密钥身份验证进行 ssh 访问。理论上它应该有效，但我想知道是否有更简单的方法。

Answer 1

如果你愿意花一些钱，你可以得到一个 yubikey，然后使用Yubico PAM 模块。这样您就可以设置双因素身份验证。要登录，需要您的 Yubikey 和密码。