求ssh两步验证方案

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 4065 天前的主题，其中的信息可能已经有所发展或是发生改变。

在网上搜了下都是利用Google Authenticator实现ssh两步验证，但我想把验证方式改为email接收验证码，有没有实现该功能的可行方法？

ssh

验证

两步

16 条回复 • 1970-01-01 08:00:00 +08:00

jyhmijack

2013-10-14 10:22:21 +08:00

我们就是这样子的。。验证码发邮件和短信。。不过不知道sa是怎么做到的

zhujinliang

2013-10-14 10:27:47 +08:00

把用户的shell改成验证程序？ssh连入后，先进验证程序，验证后由验证程序启动bash。
不知可行不

lfzyx

2013-10-14 10:29:00 +08:00

@jyhmijack 我在网上居然搜不到类似的方案，难道是各家心照不宣的黑技术？。。

kennedy32

2013-10-14 10:32:47 +08:00

google了一下 http://ben.akrin.com/?p=1068
2-factor authentication & writing PAM modules for Ubuntu

jyhmijack

2013-10-14 10:34:26 +08:00

@lfzyx 觉得应该不是什么很难实现的东西吧。。。应该很好做。。。

lfzyx

2013-10-14 10:35:43 +08:00

@kennedy32 哈哈，我也是找到了这个

kennedy32

2013-10-14 10:36:46 +08:00

@lfzyx 这个不就是email方案么?应该还可以实现sms方案

megaforce

2013-10-14 10:50:18 +08:00

我是这样做的：
机器上只开放9019端口（用iptables做）
启动nginx服务，监听9019端口。先经过http auth。
server {
listen 9010 default;
return 401;
}
server {
listen 9010;
server_name myentry.xxx.xxx.cn;
access_log /logs/access.log;
error_log /logs/error.log;
root /webdir;
location / {
auth_basic "Restricted";
auth_basic_user_file /tmp/aaa;
}

}

再到一个php界面，再做一次密码认证，成功后将用户的ip写到一个数据库。
这里可以再用php做一个邮箱账号的认证，比如用户输入了xxx，php将一个code发到所对应的 [email protected] ，让用户输入 [email protected] 里面的code，才完成验证。

后台程序每隔一定时间从数据库里面取出ip，用iptables添加该ip到ssh允许的端口。

后台程序每隔一小时再将这个ip从iptables中去除掉