将双向SSH和Apache身份验证限制在非本地网络上。

Question

我正在使用Google的开源PAM模块进行SSH登录和某些Apache指令的双向身份验证。它的工作原理很好，但是我只想在尝试从外部网络登录时才使用它，只在网络内部使用基本的用户名/通行证。基本上是白名单一个网络。我怎样才能做到这一点？我似乎找不到答案..。

Answer 1

看起来不像pam模块(假设您指的是他们为双因素身份验证引入的"google身份验证器“模块)有任何本地支持的选项，所以您可能不得不使用pam堆栈控制标志来切换。

一种可能是：

1. 将堆栈中的pam_access配置为“足够”(因此成功会阻止PAM事后执行，但失败会执行)
2. 将pam_access配置为始终返回本地网络用户的成功
3. 将google验证器模块放在pam_access行之后。

Net效果应该是(我还没有测试过)，谷歌认证模块的执行取决于pam_access，说它们不是本地的(即失败)。它应该可以工作，因为pam_access的手册页说模块中提供了"auth“工具。

让我知道结果。