2FA для SSH

Установите пакет, добавляющий возможность использовать радиус в Pam, на примере Ubuntu: libpam-radius-auth.

Внесите изменения в файл конфигурации: /etc/pam_radius_auth.conf 

Добавьте строку:

host SECRET 40 

где:

•  Host - адрес портала;
•  SECRET - Общий секрет RADIUS в настройках портала;
•  40 - таймаут ожидания запроса с запасом.

Внесите изменения в конфигурацию Pam для ssh, файл /etc/pam.d/sshd

Добавьте следующую строку ниже обычной авторизации, чтобы проверка второго фактора выполнялось только после успешного выполнения первого:

auth [success=done default=bad authinfo_unavail=bad ignore=ignore] pam_radius_auth.so localifdown

Настройки на портале

На портале создайте новый ресурс:

Укажите название, IP адрес целевого ПК и описание по желанию. 

Укажите группы пользователей из Active Directory для которых:

Разрешен вход (группы через ;) – Будет разрешен вход на данный ресурс.

Требовать второй фактор (группы через ;) – Проверка второго фактора обязательна.

Второй фактор отключен (группы через ;) – Проверка будет отключена. 

Укажите порт RADIUS, по умолчанию 1812.

На вкладке синонимы, есть возможность привязать пользователя из AD к пользователю на целевой машине.

При подключении по SSH под пользователем «Test_ssh» проверка второго фактора будет запрошена у пользователя из AD «Test_ AD»