外部アドレスのみの2要素SSH認証

私は、プライベートIP、内部IP、およびパブリックIPの両方を持つUbuntuサーバーを持っています。パブリック側のみでSSHの2要素認証を設定したい。これは可能ですか？Google Authenticatorの使用を計画していましたが、別のアイデアも受け入れています。

はい、これを行うことができますpam_access.so。このレシピは、Google認証システムのWikiから取得したものです。

有用なPAMレシピは、接続が特定のソースから発信されたときに2要素認証をスキップできるようにすることです。これはすでにPAMでサポートされています。たとえば、pam_accessモジュールを使用して、ローカルサブネットに対してソースを確認できます。

# skip one-time password if logging in from the local network
auth [success=1 default=ignore] pam_access.so accessfile=/etc/security/access-local.conf
auth       required     pam_google_authenticator.so

この場合、access-local.confは次のようになります。

# only allow from local IP range
+ : ALL : 10.0.0.0/24
+ : ALL : LOCAL
- : ALL : ALL

したがって、10.0.0.0 / 24からのログイン試行では、2要素認証は必要ありません。