macOS 中实现远程磁盘安全访问的关键是加固 SSH 登录环节：启用密钥认证、禁用密码登录、配置 TOTP 双因素认证，并通过 sshfs 挂载远程磁盘，所有基于 SSH 的操作（如 sftp、sshfs）自动继承双重认证保护。

在 macos 中实现远程磁盘安全访问，同时支持 ssh 密钥 + 二次验证（2fa），关键不是“远程磁盘”本身单独配置，而是通过加固 ssh 登录环节，让后续所有基于 ssh 的访问（包括 sftp、sshfs 挂载远程磁盘）自动继承双重认证保护。核心逻辑是：ssh 是通道，磁盘访问是走这个通道的应用层行为。

一、先确保 SSH 服务启用并仅允许密钥登录

这是整个安全链条的起点：

• 打开「系统设置」→「通用」→「共享」，勾选「远程登录」；点击右侧 ⓘ 图标，建议只勾选具体用户（如 yourname），不要选“所有用户”
• 编辑 /etc/ssh/sshd_config（需 sudo 权限），确认以下三行已取消注释且值正确：
  PubkeyAuthentication yes
PasswordAuthentication no
PermitEmptyPasswords no
• 重启服务：sudo launchctl kickstart -k system/com.openssh.sshd

二、部署强密钥对并严格管控权限

避免私钥泄露即等于守住第一道门：

• 在本地终端运行：ssh-keygen -t ed25519 -a 100 -f ~/.ssh/id_work -C "disk@mac.local"，务必设置密码短语（passphrase）
• 将公钥手动上传到目标 Mac：
  先用密码登录一次：ssh user@target-ip
  再执行三行命令（顺序不能错）：
  mkdir -p ~/.ssh && chmod 700 ~/.ssh
echo "ssh-ed25519 AAAA... your_pub_key" >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

三、启用 TOTP 双因素认证（Google Authenticator）

让每次 SSH 连接（含 sftp/sshfs）都强制触发动态口令：

macOS UI 自动化技能包 —— 用 Python 控制你的 Mac

让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限

下载

• 安装 PAM 模块：brew install google-authenticator-libpam
• 以目标用户身份运行：google-authenticator，按提示选 Y 启用时间令牌、禁止单次重用、保存配置；扫描二维码绑定手机 App（如 Authy），并安全备份恢复码
• 编辑 /etc/pam.d/sshd，在文件最开头插入一行：
  auth [success=done new_authtok_reqd=done default=ignore] pam_google_authenticator.so
  （上线后移除 nullok 参数，确保未配 OTP 的用户无法登录）
• 再次检查 /etc/ssh/sshd_config，确认这三行存在且启用：
  ChallengeResponseAuthentication yes
UsePAM yes
AuthenticationMethods publickey,keyboard-interactive
• 重启 sshd：sudo launchctl kickstart -k system/com.openssh.sshd

四、使用 sshfs 安全挂载远程磁盘（示例）

此时所有基于 SSH 的操作都会触发双因素，无需额外配置磁盘模块：

• 安装 sshfs：brew install sshfs
• 创建本地挂载点：mkdir ~/mnt-remote
• 挂载命令（会先要求输入密钥密码短语，再弹出 OTP 输入框）：
  sshfs user@target-ip:/path/to/folder ~/mnt-remote -o reconnect,defer_permissions,negative_vncache
• 卸载：umount ~/mnt-remote

整个过程不涉及修改磁盘服务本身，而是把安全控制下沉到 SSH 协议层。只要 SSH 登录强制密钥 + TOTP，那么 sftp、scp、rsync、sshfs 等一切衍生操作自然获得同等强度保护。