ssh登录不触发google authenticator的根本原因是openssh默认禁用pam交互式二次验证，必须显式设置challengeresponseauthentication yes且usepam yes，并正确配置pam规则顺序、用户级密钥生成及系统时间同步。
为什么直接改 sshd_config 后 SSH 登录不触发 Google Authenticator？
常见现象是：装完 libpam-google-authenticator、运行过 google-authenticator、也改了 /etc/pam.d/sshd，但 SSH 登录依然不弹出验证码。根本原因是 OpenSSH 默认禁用 PAM 认证的交互式二次验证——必须显式启用 ChallengeResponseAuthentication yes，且确保 UsePAM yes 已开启。
实操要点：
-
ChallengeResponseAuthentication必须设为yes（注意不是yes的别名如on） - 如果使用密钥登录，
PubkeyAuthentication yes和AuthenticationMethods publickey,keyboard-interactive要配对设置，否则密钥成功后直接跳过验证码 - 修改后必须执行
sudo systemctl restart sshd，仅 reload 不生效 - 测试前先保留一个未关闭的 root 或其他有 sudo 权限的会话，防锁死
用户级配置 vs 系统级配置：该在哪儿运行 google-authenticator？
必须以目标登录用户身份运行 google-authenticator，不能用 sudo 或切换用户后漏掉环境变量。它会在该用户的 ~/.google_authenticator 生成密钥和计数器文件，PAM 模块默认只读这个路径。
关键细节：
- 普通用户运行时，建议加
-t -d -f -r 3 -R 30：禁用时间偏移容忍（-t）、启用基于时间的令牌（-d）、强制写入文件（-f）、限制 3 次失败锁定（-r 3）、30 秒内拒绝重复码（-R 30） - 文件权限必须是
600，否则 PAM 拒绝读取；若提示 “permissions are too open”，用chmod 600 ~/.google_authenticator - 不要把
.google_authenticator复制给其他用户——每个用户必须独立生成
/etc/pam.d/sshd 里这行顺序为什么不能乱？
PAM 配置行 auth [success=done default=ignore] pam_google_authenticator.so nullok 中的 [success=done] 是关键。它表示一旦 Google Authenticator 验证通过，就跳过后续 auth 类模块（比如密码检查），直接进入 session 阶段——但这只在你明确需要“仅验证码”时才合理。
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
更常见的双因子场景（密码 + 验证码）要改成：
auth [success=ok default=bad] pam_google_authenticator.so nullok
说明：
-
success=ok表示验证成功时继续执行下一条 auth 规则（比如密码校验） -
default=bad表示失败时标记整个 auth 栈为失败 -
nullok允许尚未初始化.google_authenticator的用户跳过该步（上线初期灰度用） - 这行必须放在
pam_unix.so或pam_succeed_if.so之前，否则顺序错会导致逻辑短路
手机扫码失败或验证码总不对？检查系统时间与 libpam-google-authenticator 版本
Google Authenticator 基于 TOTP（基于时间的一次性密码），误差超过 30 秒即失效。Linux 主机若未同步时间，扫码后所有码都无效。
排查步骤：
- 运行
timedatectl status，确认System clock synchronized: yes；若否，执行sudo timedatectl set-ntp true - 旧版
libpam-google-authenticator（如 Ubuntu 18.04 自带的 2013 版）不支持 QR 码中的digits=6参数，扫码后生成 8 位码，但手机 App 默认期望 6 位——此时需手动输入密钥，并在 App 中选 “Time-based”、“6 digits” - 安卓端推荐用
andOTP（开源无网络）替代 Google Authenticator，避免 Play Store 更新导致兼容问题 - 如果服务器在 NAT 后或时间无法联网校准，可临时用
-t参数禁用时间校验（仅测试用，不安全）
最易被忽略的是：PAM 模块日志默认不输出到 /var/log/auth.log，需在 /etc/pam.d/sshd 对应行末尾加 debug 才能看到具体哪步失败。
