必须同时配置密钥认证与totp双因子，且通过pam与sshd协同生效：先用ed25519密钥登录验证稳定后，再安装google-authenticator、校准时间、配置pam规则（置于/etc/pam.d/sshd首行）及sshd_config中启用challengeresponseauthentication、usepam、禁用密码并设authenticationmethods为publickey,keyboard-interactive，最后reload服务并实测两步缺一不可。
要同时禁用 SSH 密码登录并开启双因子认证（2FA），不能只关密码或只配验证码——必须让密钥作为第一因子、TOTP 动态码作为第二因子，且两者都通过才允许登录。关键在于 PAM 与 SSH 配置协同生效，缺一不可。
确保密钥登录已稳定可用
这是整个流程的基石。没验证成功就关密码+加2FA，等于主动锁死自己。
- 在本地生成现代密钥：
ssh-keygen -t ed25519 -C "admin@server" - 用
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server_ip自动部署公钥（它会设好~/.ssh权限为 700、authorized_keys为 600） - 新开终端测试：
ssh user@server_ip，不输密码能进才算成功 - 保持当前已登录终端不关闭，用于紧急回滚
安装并初始化 Google Authenticator
使用 TOTP 实现第二因子，依赖时间同步和用户级密钥绑定。
- 校准服务器时间：
sudo timedatectl set-ntp true，再运行timedatectl status | grep "synchronized"确认显示 yes - 安装模块：
Ubuntu/Debian：sudo apt update && sudo apt install libpam-google-authenticator -y
CentOS/RHEL/AlmaLinux：sudo dnf install epel-release google-authenticator -y - 切换到目标用户执行：
google-authenticator，按提示选：
• y（启用基于时间的令牌）
• y（禁止重复使用）
• n（不扩大时间窗口，保持默认 30 秒）
• y（启用速率限制） - 保存好 16 位密钥和 5 个应急码（建议打印离线保存），用 Authy 或 Microsoft Authenticator 扫描二维码完成绑定
配置 PAM 强制第二因子校验
PAM 规则顺序决定是否真正触发双因子，必须放在 /etc/pam.d/sshd 最上方。
- 编辑文件：
sudo nano /etc/pam.d/sshd - 在第一行插入：
auth [success=done default=ignore] pam_google_authenticator.so
（灰度期可用nullok，全员强制时去掉） - 确保该行在其他
auth规则之前，否则可能被跳过
修改 sshd_config 启用双因子模式
仅靠 PAM 不够，SSH 服务本身必须明确要求两个因子按序通过。
- 编辑
/etc/ssh/sshd_config，确认以下四行已设置且取消注释：ChallengeResponseAuthentication yesUsePAM yesPasswordAuthentication noAuthenticationMethods publickey,keyboard-interactive - 显式关闭所有密码类入口：
KbdInteractiveAuthentication no（兼容旧名）PermitEmptyPasswords no - 检查权限：
chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys；SELinux 环境补：sudo restorecon -Rv ~/.ssh - 语法验证：
sudo sshd -t—— 无输出才表示合法 - 安全重载：
sudo systemctl reload sshd（不中断现有连接）
验证是否真正生效
别信配置，要实测。双因子不是“有验证码就行”，而是“密钥 + 验证码”两步都卡住才算成功。
- ✅ 正常登录：
ssh user@server_ip→ 先过密钥，再提示输入验证码（6 位数字） - ❌ 绕过密钥测试：
ssh -o PubkeyAuthentication=no user@server_ip→ 应直接拒绝，不给输验证码机会 - ❌ 纯密码尝试：
ssh -o PubkeyAuthentication=no -o PreferredAuthentications=password user@server_ip→ 应立即报错 - 查看日志确认：
sudo journalctl -u sshd -n 50 --no-pager | grep "Accepted\|Failed"，应无密码相关成功记录
