pam模块实现mfa需启用ssh的usepam yes并配置totp：用户运行google-authenticator生成密钥，/etc/pam.d/sshd中添加required级pam_google_authenticator.so校验行，确保密码与动态码均通过，同时同步系统时间、限制配置文件权限、保留应急账号。

利用PAM模块实现服务器多重身份验证（MFA），核心是将标准密码认证与第二因素（如TOTP动态码、U2F密钥或短信）叠加，不修改SSH主逻辑，仅通过PAM配置扩展认证流程。关键在于正确选择、安装和串联PAM模块，并确保SSH服务启用PAM支持。

确认SSH已启用PAM并准备基础环境

大多数主流Linux发行版默认开启SSH的PAM支持，但需验证配置。检查/etc/ssh/sshd_config中是否存在以下行：

• UsePAM yes（必须启用，否则PAM规则完全不生效）
• PasswordAuthentication yes（若仅用密钥登录，需保留此项以触发PAM密码阶段，即使实际不输密码）

重启sshd前务必保留一个活跃会话，避免锁死。运行sudo systemctl restart sshd后，可用sshd -T | grep usepam确认生效。

部署Google Authenticator实现TOTP双因素

这是最常用、免硬件、兼容性好的方案。以Ubuntu/Debian为例：

• 安装：sudo apt install libpam-google-authenticator
• 普通用户执行google-authenticator，按提示生成密钥、二维码和备用码（务必保存）
• 编辑/etc/pam.d/sshd，在文件顶部添加一行：
  auth [success=ok new_authtok_reqd=ok default=bad] pam_google_authenticator.so nullok secret=/home/${USER}/.google_authenticator
• 注意：该行必须放在@include common-auth之前，确保优先触发；nullok允许未配置MFA的用户临时跳过（上线前应移除）

组合密码+TOTP：强制两步缺一不可

默认PAM堆叠行为可能因模块返回值导致“短路”。要真正实现“密码且动态码”，需精确控制控制标志（control flags）：

• 在/etc/pam.d/sshd中，将原系统认证行（如@include common-auth）保留
• 在它之后添加TOTP行，并使用required而非sufficient：
  auth [verifier=0 success=ok new_authtok_reqd=ok default=bad] pam_google_authenticator.so secret=/home/${USER}/.google_authenticator
• 这样，密码校验（common-auth）和TOTP校验均需返回success，任一失败即拒绝登录

增强安全与排错要点

MFA上线后易忽略的细节决定稳定性：

• 时间同步：TOTP依赖准确时间，确保服务器运行systemd-timesyncd或chrony，偏差超30秒即失效
• 用户级配置：不要将.google_authenticator设为全局可读，权限应为600，属主为对应用户
• 日志定位：认证失败时查看/var/log/auth.log，搜索google_authenticator或PAM关键词
• 应急通道：首次部署建议保留一个未启用MFA的管理账号，或配置auth [success=done default=ignore] pam_access.so accessfile=/etc/security/access-mfa.conf做白名单兜底