如何在Linux服务器上配置SSH密钥验证

客户端设置

客户需要生成密钥对（公共和私有）。 稍后我们会将公钥上传到SSH服务器。

ssh-keygen

生成SSH密钥时，系统将提示您输入密码。 我们建议在此步骤中使用新密码。 这将避免别人使用你的钥匙。

将公钥上传到服务器

现在我们将使用ssh-copy-id命令来上传密钥。 您可以手动将公钥（~/.ssh/id_rsa.pub）附加到服务器上的 ~/.ssh/authorized_keys。

ssh-copy-id user@hostname

更安全的SSH设置

此步骤是可选的，但建议禁用密码验证（特别是root用户）打开文件 /etc/ssh/sshd_config 并将PasswordAuthentication更改为“no”值。

PasswordAuthentication no

确保在重新启动SSH服务器之前测试您的ssh密钥验证！

sudo service ssh restart

第一步需要在运行着OpenSSH服务的Linux主机上安装Google认证器。按照如下步骤安装Google认证器及其PAM模块。

用安装包安装 Google Authenticator

如果你不想自己构建 Google Authenticator，在几个 Linux 发行版上有已经编译好的安装包。安装包里面包含 Google Authenticator 二进制程序和 PAM 模块。

在 Ubuntu 上安装 Google Authenticator：

$ sudo apt-get install libpam-google-authenticator

在 Fedora 上安装 Google Authenticator：

$ sudo yum install google-authenticator

在 CentOS 上安装 Google Authenticator ，需要首先启用 EPEL 软件库，然后运行如下命令：

$ sudo yum install google-authenticator

如果不想使用已经编译好的安装包，或者你的 Linux 发行版不在此列，可以自行编译：

在 Linux 上 Google Authenticator

首先，安装构建 Google Authenticator 所需的软件包。

在 Debian、 Ubuntu 或 Linux Mint 上：

$ sudo apt-get install wget make gcc libpam0g-dev

在 CentOS、 Fedora 或 RHEL上：

$ sudo yum install wget make gcc pam-devel

然后下载 Google Authenticator 的源代码，并按如下命令编译。

$ tar xvfvj libpam-google-authenticator-1.0-source.tar.bz2

$ cd libpam-google-authenticator-1.0

$ make

如果构建成功，你会在目录中看到 pamgoogleauthenticator.so 和 google-authenticator 两个文件。

最后，将 Google Authenticator 安装到合适位置

$ sudo make install

排错

当编译 Google Authenticator 时出现如下错误：

fatal error: security/pam_appl.h: No such file or directory

要修复这个问题，请安装如下依赖包。

在 Debian、 Ubuntu 或 Linux Mint 上：

$ sudo apt-get install libpam0g-dev

在 CentOS、 Fedora 或 RHEL 上：

$ sudo yum install pam-devel

当Google认证器安装好后，你需要在Linux主机上创建验证密钥，并且在安卓设备上注册，注意这项配置 *** 作是一次性的。我们将详细叙述如何完成这些 *** 作：

生成验证密钥

在Linux主机上运行Google认证器

$ google-authenticator

你将看到一个QR码，它使用如下图形表示我们数字形态的密钥。一会我们要用到它在安卓设备上完成配置。

Google认证器会问一些问题，如果你不确定，就回答"Yes"。这个应急备用验证码(图中 emergency scratch codes）可以在你由于丢失了绑定的安卓设备的情况下（所以不能得到生成的一次性密码）恢复访问。最好将应急备用验证码妥善保存。

在安卓设备上运行Google认证器

我们需要在安卓设备上安装Google Authenticator app才能完成双因子认证，到Google Play下载并安装一个。在安卓设备上运行Google认证器，找到下图所示中的配置菜单。

你可以选择"Scan a barcode" 或者"Enter provided key"选项。"Scan a barcode"允许你扫描QR码来完成密钥的输入，在此可能需要先安装扫描软件Barcode Scanner app。如果选择"Enter provided key"选项，你可以使用键盘输入验证密钥，如下图所示：

为SSH服务器用Google认证器

最终我们需要修改两个文件来完成集成Google认证器和OpenSSH服务这临门一脚。

首先，修改PAM配置文件，命令和需添加的内容如下：

$ sudo vi /etc/pam.d/sshd

auth required pam_google_authenticator.so

然后打开SSH配置文件，找到参数ChallengeResponseAuthentication，并启用它。

$ sudo vi /etc/ssh/sshd_config

ChallengeResponseAuthentication yes

最后，重启SSH服务。

在 Ubuntu、 Debian 和 Linux Mint 上：

$ sudo service ssh restart

在Fedora （或 CentOS/RHEL 7）上：

$ sudo systemctl restart sshd

在CentOS 6.x或 RHEL 6.x上：

$ sudo service sshd restart

验证双因子认证

在绑定的安卓设备上运行Google认证器，获得一个一次性验证码，该验证码30秒内有效，一旦过期，将重新生成一个新的验证码。

现在和往常一样，使用SSH登录终端

$ ssh user@ssh_server

当提示你输入验证码的时候，输入我们刚获得的验证码。验证成功后，再输入SSH的登录密码。

1. 制作密钥对

在服务器上制作密钥对。首先用密码登录到你打算使用密钥登录的账户，然后执行以下命令：

[root@host ~]$ ssh-keygen <== 下面是相应的 *** 作提示，以及密钥生成的位置都会告诉我们。

Generating public/private rsa key pair.Enter file in which to save the key (/root/.ssh/id_rsa): <== 按 EnterCreated directory '/root/.ssh'.Enter passphrase (empty for no passphrase): <== 输入密钥锁码，或直接按 Enter 留空Enter same passphrase again: <== 再输入一遍密钥锁码Your identification has been saved in /root/.ssh/id_rsa. <== 私钥Your public key has been saved in /root/.ssh/id_rsa.pub. <== 公钥The key fingerprint is:0f:d3:e7:1a:1c:bd:5c:03:f1:19:f1:22:df:9b:cc:08 root@host

在 当前 用户的家目录中生成了一个 .ssh 的隐藏目录，内含两个密钥文件。id_rsa 为私钥，id_rsa.pub 为公钥。

2. 在服务器上安装公钥

键入以下命令，在服务器上安装公钥：

[root@host ~]$ cd .ssh

[root@host .ssh]$ cat id_rsa.pub >>authorized_keys

如此便完成了公钥的安装。为了确保连接成功，请保证以下文件权限正确：

[root@host .ssh]$ chmod 600 authorized_keys[root@host .ssh]$ chmod 700 ~/.ssh

3. 设置 SSH，打开密钥登录功能

编辑 /etc/ssh/sshd_config 文件，添加如下设置：

sudo vi /etc/ssh/sshd_config

RSAAuthentication yesPubkeyAuthentication yes

接着保存后 另外，请留意 root 用户能否通过 SSH 登录：PermitRootLogin yes

当你完成全部设置，并以密钥方式登录成功后，再禁用密码登录：

PasswordAuthentication no

最后，重启 SSH 服务：

[root@host .ssh]$ service sshd restart

---