CentOS 7 SSH и 2FA (ESET Secure Authentication)

Я застрял в том, чтобы заставить работать двухфакторную аутентификацию в CentOS 7; особенно аутентификация через SSH и OTP.

Я был бы очень признателен, если бы кто-нибудь мог мне помочь с этим. :)

Edit: Как я понял из лога ниже, модуль pam запрашивает аутентификацию у RADIUS-сервера, сервер отвечает кодом 11, так что pam-модуль запрашивает у пользователя OTP, но вместо этого модуль просто сообщает «ошибка аутентификации». Значит, проблема должна быть в клиенте, не так ли?

Вот журнал попытки входа через SSH с учетной записью "ws-admin@test.local ":

sshd[3652]: pam_radius_auth: Got user name ws-admin@test.local
sshd[3652]: pam_radius_auth: ignore last_pass, force_prompt set
sshd[3652]: pam_radius_auth: Sending RADIUS request code 1
sshd[3652]: pam_radius_auth: DEBUG: getservbyname(radius, udp) returned 0x7fa56490e1c0.
sshd[3652]: pam_radius_auth: Got RADIUS response code 11
sshd[3652]: pam_radius_auth: authentication failed
sshd[3652]: pam_sepermit(sshd:auth): Parsing config file:     /etc/security/sepermit.conf
sshd[3652]: pam_sepermit(sshd:auth): Enforcing mode, access will be allowed on match
sshd[3652]: pam_sepermit(sshd:auth): sepermit_match returned: -1
sshd[3652]: pam_sss(sshd:auth): authentication success; logname= uid=0 euid=0 tty=ssh ruser= rhost=10.0.0.31 user=ws-admin@test.local
sshd[3652]: Failed password for ws-admin@test.local from 10.0.0.31 port 57962 ssh2
sshd[3652]: Connection closed by 10.0.0.31 [preauth]

Ниже следует информация о конфигурации и настройке

Тестовая среда предоставляется инфраструктурой моей компании; в основном мы используем Windows-клиенты и примерно такую ​​же долю Windows- и Linux -Серверы.

Win-Server: Windows Server 2016 x64

• Active Directory: Test.local
• ESET Secure Authentication (сервер RADIUS) d / sshd

  #%PAM-1.0
  auth       required     pam_radius_auth.so    debug
  auth       required pam_sepermit.so      debug
  auth       substack     password-auth      debug
  auth       include      postlogin     debug
  # Used with polkit to reauthorize users in remote sessions
  -auth      optional     pam_reauthorize.so prepare
  account    required     pam_nologin.so
  account    include      password-auth
  password   include      password-auth
  # pam_selinux.so close should be the first session rule
  session    required     pam_selinux.so close
  session    required     pam_loginuid.so
  # pam_selinux.so open should only be followed by sessions to be executed in the user context
  session    required     pam_selinux.so open env_params
  session    required     pam_namespace.so
  session    optional     pam_keyinit.so force revoke
  session    include      password-auth
  session    include      postlogin
  # Used with polkit to reauthorize users in remote sessions
  -session   optional     pam_reauthorize.so prepare
  

  / etc / raddb / server

  # server[:port] shared_secret      timeout (s)
  10.0.0.1        test345            5