SSH İçin 2FA Kurulumu: Google Authenticator ile Güvenlik

# Ubuntu/Debian
sudo apt update
sudo apt install libpam-google-authenticator -y

# CentOS/AlmaLinux
sudo dnf install epel-release -y
sudo dnf install google-authenticator -y

# 2FA'yı etkinleştirmek istediğiniz kullanıcı olarak çalıştırın
google-authenticator

Do you want authentication tokens to be time-based (y/n) y

Do you want me to update your "/home/user/.google_authenticator" file? (y/n) y

Do you want to disallow multiple uses of the same authentication token? (y/n) y

By default, tokens are good for 30 seconds. In order to compensate for possible time-skew between the client and the server, we allow an extra token before and after the current time. If you experience problems with poor time synchronization, you can increase the window from its default size of +-1min (window size of 3) to about +-4min (window size of 17 acceptable tokens). Do you want to do so? (y/n) n

If the computer that you are logging into isn't hardened against brute-force login attempts, you can enable rate-limiting for the authentication module. By default, this limits attackers to no more than 3 login attempts every 30s. Do you want to enable rate-limiting? (y/n) y

Your emergency scratch codes are:
  12345678
  87654321
  11223344
  44332211
  99887766

# SSH PAM yapılandırmasını düzenle
sudo nano /etc/pam.d/sshd

# /etc/pam.d/sshd dosyasının başına ekle:
auth required pam_google_authenticator.so

sudo nano /etc/ssh/sshd_config

# Klavye etkileşimli kimlik doğrulamayı etkinleştir
ChallengeResponseAuthentication yes

# Kimlik doğrulama yöntemlerini ayarla
# Seçenek 1: Yalnızca 2FA (şifre + TOTP)
AuthenticationMethods keyboard-interactive

# Seçenek 2: SSH anahtarı VEYA 2FA
# AuthenticationMethods publickey keyboard-interactive

# Seçenek 3: SSH anahtarı VE 2FA (en güvenli)
AuthenticationMethods publickey,keyboard-interactive

# UsePAM etkin olmalı
UsePAM yes

# SSH servisini yeniden başlat
sudo systemctl restart sshd

sudo nano /etc/ssh/sshd_config

# SSH anahtarı + 2FA zorunlu
AuthenticationMethods publickey,keyboard-interactive
PasswordAuthentication no
ChallengeResponseAuthentication yes
UsePAM yes

# PAM yapılandırması
sudo nano /etc/pam.d/sshd

# Şifre kimlik doğrulamasını devre dışı bırak
# @include common-auth satırını yorum satırına al:
# @include common-auth

# 2FA ekle
auth required pam_google_authenticator.so

# Yeni bir terminal açın ve bağlanmayı deneyin
ssh kullanici@sunucu_ip

# Beklenen çıktı:
# Verification code: (Google Authenticator'dan kodu girin)
# Authenticated with partial success.
# (SSH anahtarı + 2FA modunda)

# Sunucu saatini kontrol et
date
timedatectl

# NTP senkronizasyonu
sudo apt install ntp -y
sudo systemctl restart ntp

# Zaman dilimini kontrol et
timedatectl list-timezones | grep Istanbul
sudo timedatectl set-timezone Europe/Istanbul

# Konsol erişimi ile bağlanın
# Google Authenticator dosyasını kontrol edin
cat ~/.google_authenticator

# 2FA'yı geçici olarak devre dışı bırak
# /etc/pam.d/sshd dosyasından pam_google_authenticator satırını yorum satırına al
sudo nano /etc/pam.d/sshd
# auth required pam_google_authenticator.so  <- başına # ekle

sudo systemctl restart sshd

sudo nano /etc/pam.d/sshd

# Belirli grupları muaf tut
auth [success=1 default=ignore] pam_succeed_if.so user ingroup notp
auth required pam_google_authenticator.so

# notp grubu oluştur ve kullanıcı ekle
sudo groupadd notp
sudo usermod -aG notp deploy_user

# Ansible ile toplu kurulum
# playbook.yml

- name: Google Authenticator kurulumu
  hosts: all
  tasks:
    - name: Paketi kur
      apt:
        name: libpam-google-authenticator
        state: present
    
    - name: PAM yapılandırması
      lineinfile:
        path: /etc/pam.d/sshd
        line: 'auth required pam_google_authenticator.so'
        insertbefore: BOF