احراز هویت دومرحله‌ای (2FA) برای SSH در سرور لینوکس

# به‌روزرسانی لیست بسته‌ها
sudo apt update

# نصب ماژول libpam-google-authenticator
sudo apt install libpam-google-authenticator -y

# بررسی نصب موفق
dpkg -l | grep libpam-google-authenticator

# فعال‌سازی مخزن EPEL
sudo yum install epel-release -y

# نصب Google Authenticator
sudo yum install google-authenticator -y

# برای سیستم‌های جدیدتر با DNF
sudo dnf install google-authenticator -y

# بررسی وضعیت سرویس SSH
sudo systemctl status sshd

# اگر سرویس غیرفعال است
sudo systemctl start sshd
sudo systemctl enable sshd

# بررسی پورت SSH
sudo ss -tlnp | grep ssh

# ایجاد نسخه پشتیبان از فایل اصلی
sudo cp /etc/pam.d/sshd /etc/pam.d/sshd.backup

# ویرایش فایل
sudo nano /etc/pam.d/sshd

auth required pam_google_authenticator.so nullok

auth required pam_google_authenticator.so nullok

auth required pam_google_authenticator.so forward_pass

auth required pam_google_authenticator.so secret=/etc/ssh/totp/${USER}

# @include common-auth

# ایجاد نسخه پشتیبان
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup

# ویرایش فایل
sudo nano /etc/ssh/sshd_config

# فعال‌سازی استفاده از PAM
UsePAM yes

# فعال‌سازی احراز هویت Challenge-Response
ChallengeResponseAuthentication yes

# یا در نسخه‌های جدیدتر OpenSSH
KbdInteractiveAuthentication yes

# تعیین روش احراز هویت (رمز عبور و کد 2FA)
AuthenticationMethods keyboard-interactive

PasswordAuthentication yes
PubkeyAuthentication no
AuthenticationMethods keyboard-interactive

PasswordAuthentication yes
PubkeyAuthentication yes
AuthenticationMethods publickey,keyboard-interactive password,keyboard-interactive

PasswordAuthentication no
PubkeyAuthentication yes
AuthenticationMethods publickey,keyboard-interactive

# بررسی صحت پیکربندی
sudo sshd -t

# اگر خطایی نبود، ری‌استارت سرویس
sudo systemctl restart sshd

# بررسی وضعیت سرویس
sudo systemctl status sshd

# ورود به حساب کاربری
su - username

# یا مستقیماً به عنوان خود کاربر
google-authenticator

Do you want authentication tokens to be time-based (y/n) y

https://www.google.com/chart?chs=200x200&chld=M|0&cht=qr&chl=...

Your new secret key is: ABCD1234EFGH5678IJKL
Your verification code is 123456
Your emergency scratch codes are:
  12345678
  87654321
  11223344
  44332211
  55667788

Do you want me to update your "/home/username/.google_authenticator" file? (y/n) y

Do you want to disallow multiple uses of the same authentication token? (y/n) y

By default, tokens are good for 30 seconds. Do you want to increase the window to 4 minutes? (y/n) n

Do you want to enable rate-limiting? (y/n) y

# مشاهده محتوای فایل
cat ~/.google_authenticator

chmod 400 ~/.google_authenticator

ssh username@your-server-ip

username@your-server-ip's password: [رمز عبور]

Verification code: [کد 6 رقمی از برنامه]

ssh username@your-server-ip
# بعد از وارد کردن رمز عبور
Verification code: 12345678

# در Ubuntu/Debian
sudo tail -f /var/log/auth.log

# در CentOS/RHEL
sudo tail -f /var/log/secure

sshd[12345]: Accepted keyboard-interactive/pam for username from 192.168.1.1

sshd[12345]: pam_google_authenticator(sshd:auth): Invalid verification code

ssh username@server
Verification code: [کد پشتیبان]

# ورود از کنسول
# حذف موقت فایل 2FA
mv ~/.google_authenticator ~/.google_authenticator.backup

# یا غیرفعال کردن موقت ماژول PAM
sudo nano /etc/pam.d/sshd
# کامنت کردن خط ماژول
# auth required pam_google_authenticator.so

# ری‌استارت SSH
sudo systemctl restart sshd

# ورود به سرور (از کنسول یا نشست موجود)
su - username

# حذف تنظیمات قبلی
rm ~/.google_authenticator

# راه‌اندازی مجدد
google-authenticator

# ایجاد کاربر اضطراری
sudo useradd -m -s /bin/bash emergency_user
sudo passwd emergency_user

# اضافه کردن به گروه sudo
sudo usermod -aG sudo emergency_user

# در /etc/ssh/sshd_config
Match User emergency_user
    AuthenticationMethods password
    AllowUsers emergency_user
    # محدود کردن به IP خاص
    # Match User emergency_user Address 192.168.1.100

# ایجاد پوشه backup
sudo mkdir -p /root/2fa-backups

# کپی تنظیمات همه کاربران
for user in $(ls /home); do
    if [ -f /home/$user/.google_authenticator ]; then
        sudo cp /home/$user/.google_authenticator /root/2fa-backups/$user-google-auth
    fi
done

# فشرده‌سازی و رمزگذاری
tar -czf /root/2fa-backups.tar.gz /root/2fa-backups
openssl enc -aes-256-cbc -salt -in /root/2fa-backups.tar.gz -out /root/2fa-backups.tar.gz.enc

# تولید کلید SSH در کامپیوتر کاربر
ssh-keygen -t ed25519 -C "user@example.com"

# کپی کلید به سرور
ssh-copy-id -i ~/.ssh/id_ed25519.pub username@server

# تنظیم sshd_config برای استفاده از هر دو
sudo nano /etc/ssh/sshd_config

PubkeyAuthentication yes
PasswordAuthentication no
AuthenticationMethods publickey,keyboard-interactive

# نصب fail2ban
sudo apt install fail2ban -y

# ایجاد فایل پیکربندی
sudo nano /etc/fail2ban/jail.local

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
findtime = 600

# ایجاد اسکریپت هشدار
sudo nano /etc/ssh/login-notify.sh

#!/bin/bash
if [ "$PAM_TYPE" = "open_session" ]; then
    echo "SSH Login: $PAM_USER from $PAM_RHOST on $(date)" | mail -s "SSH Login Alert" admin@example.com
fi

sudo nano /etc/pam.d/sshd
# اضافه کردن در انتها
session optional pam_exec.so /etc/ssh/login-notify.sh

sudo nano /etc/ssh/sshd_config

# تغییر پورت
Port 2222

# ری‌استارت سرویس
sudo systemctl restart sshd

# اجازه پورت جدید در فایروال
sudo ufw allow 2222/tcp
sudo ufw delete allow 22/tcp

# بررسی لاگ‌ها
sudo tail -30 /var/log/auth.log | grep pam

# چک کردن syntax فایل PAM
sudo pam-auth-update --force

# بررسی دسترسی‌های فایل
ls -la ~/.google_authenticator
# باید 400 یا 600 باشد

# اگر نیست، تنظیم کنید
chmod 400 ~/.google_authenticator

# بررسی زمان سرور
date

# نصب و فعال‌سازی NTP
sudo apt install ntp -y
sudo systemctl start ntp
sudo systemctl enable ntp

# یا در سیستم‌های جدید
sudo timedatectl set-ntp true

# بررسی لاگ
sudo grep "pam_google_authenticator" /var/log/auth.log

# ورود از کنسول و اجرای مجدد
google-authenticator

# اسکن QR جدید یا وارد کردن Secret Key به صورت دستی

# کامنت کردن ماژول PAM
sudo nano /etc/pam.d/sshd
# auth required pam_google_authenticator.so  # موقتاً غیرفعال

sudo systemctl restart sshd

# Ubuntu/Debian
sudo apt install libpam-google-authenticator --reinstall

# CentOS/RHEL
sudo yum reinstall google-authenticator

# بررسی PATH
which google-authenticator

# بررسی وضعیت SELinux
getenforce

# اگر Enforcing است، لاگ‌ها را چک کنید
sudo ausearch -m avc -ts recent

# اضافه کردن قوانین SELinux
sudo semanage permissive -a sshd_t

# یا غیرفعال کردن موقت (توصیه نمی‌شود)
sudo setenforce 0