ctrllife.ru/ctrllife

SSH с двухфакторной аутентификацией через Google Authenticator в Ubuntu

ssh-google-authenticator-ubuntu
Развивается2 мин…обновлено 13 сентября 2026 г.

SSH — один из самых распространённых способов удалённого доступа к серверу. Чтобы усилить безопасность, можно добавить двухфакторную аутентификацию (2FA) через Google Authenticator с использованием PAM. Эта инструкция показывает, как правильно это сделать в Ubuntu.

Что потребуется

  • Ubuntu Server или Desktop (современная версия)
  • Доступ по SSH или к терминалу
  • root-доступ (или sudo)
  • Приложение Google Authenticator / Aegis / OTP Auth на телефоне

Установка PAM-модуля

Подключитесь к серверу по SSH или через терминал и выполните:

sudo apt update
sudo apt install libpam-google-authenticator

Настройка пользователя

Выполните команду от имени пользователя, для которого будет активирован 2FA:

google-authenticator

Ответьте на вопросы:

  • Time-based tokens? → y
  • Update your .google_authenticator file? → y
  • Disallow multiple uses? → y
  • Enable rate limiting? → y

Отсканируйте QR-код через приложение 2FA или введите секретный ключ вручную.

Настройка PAM

Откройте PAM-конфигурацию SSH:

sudo nano /etc/pam.d/sshd

Добавьте в начало файла:

auth required pam_google_authenticator.so

Настройка sshd_config

Откройте конфигурацию SSH:

sudo nano /etc/ssh/sshd_config

Убедитесь, что заданы следующие параметры:

Port 22
UsePAM yes
KbdInteractiveAuthentication yes
AuthenticationMethods keyboard-interactive
PasswordAuthentication no
ChallengeResponseAuthentication yes

Проверка и перезапуск

Проверьте корректность конфигурации:

sudo /usr/sbin/sshd -t

Если ошибок нет — перезапустите SSH-сервис:

sudo systemctl restart ssh

Проверка подключения

Подключитесь по SSH:

ssh username@your.server.ip

Появится запрос:

Verification code:

Введите код из приложения Google Authenticator.

Возможные ошибки

1. Permission denied, даже при верном коде

Проверьте параметры в sshd_config:

  • AuthenticationMethods keyboard-interactive
  • KbdInteractiveAuthentication yes
  • UsePAM yes
  • PasswordAuthentication no

2. QR-код не отображается

Используйте терминалы с графикой (wezterm, iTerm2, kitty) или введите ключ вручную.

3. sshd не запускается

Проверьте статус:

sudo systemctl status ssh

Посмотрите журнал:

sudo journalctl -xeu ssh

И проверьте конфиг:

sudo /usr/sbin/sshd -t

Финальная конфигурация

/etc/ssh/sshd_config

Port 22
UsePAM yes
KbdInteractiveAuthentication yes
AuthenticationMethods keyboard-interactive
PasswordAuthentication no
ChallengeResponseAuthentication yes

/etc/pam.d/sshd

auth required pam_google_authenticator.so
@include common-auth
@include common-account
@include common-session
@include common-password

Заключение

С двухфакторной аутентификацией SSH становится значительно безопаснее. Настройка занимает несколько минут, но существенно снижает риск несанкционированного доступа. Важно правильно настроить PAM и параметры SSH для корректной работы 2FA.

Оцените статью