Двухфакторная аутентификация для VPN и сетевого оборудования
Второй фактор для VPN-шлюзов и сетевого оборудования подключается по протоколу RADIUS: в панели администратора создаётся ресурс с протоколом RADIUS, а на стороне шлюза добавляется RADIUS-сервер с адресом локального инстанса и общим секретом из карточки ресурса.
Общие правила для всех инструкций этого раздела:
- Метод аутентификации — PAP. MS-CHAPv2 не позволяет проверить первый фактор на стороне Simple2FA.
- Таймаут ответа RADIUS — 40–60 секунд. Значения по умолчанию (3–5 секунд) не оставляют пользователю времени на подтверждение второго фактора.
- Несколько ресурсов на одном порту различаются по атрибуту NAS-Identifier; для оборудования, которое его не отправляет, в карточке ресурса заполняется поле «NAS IP».
- Диагностика — режим отладки RADIUS в карточке ресурса и журнал «Попытки авторизации».
Инструкции по системам
-
Cisco AnyConnect: группа AAA-серверов RADIUS в ASDM или CLI.
-
RADIUS-сервер, группа пользователей и таймаут
remoteauthtimeoutв CLI. -
SmartConsole: объект RADIUS-сервера, Mobile Access и VPN Clients, Access Role.
-
Профили RADIUS и аутентификации, портал и шлюз, Authentication Override.
-
SecoClient и SSL VPN: сервер аутентификации, домен и привязка к шлюзу.
-
Сервер и профиль авторизации, правило Remote access VPN, клиент L2TP/IPsec.
-
Cisco-like CLI:
aaa authentication login, XAuth и динамическая криптокарта. -
КриптоПро NGate: первый фактор по LDAP на шлюзе, второй — по RADIUS.
-
RouterOS: L2TP-сервер с IPsec, RADIUS для PPP.
-
PAM-адаптер Simple2FA и OpenVPN PAM-plugin.
-
Служба RRAS: SSTP, аутентификация RADIUS и настройка клиента.
-
Контроллер CSP: конфигурация аутентификации RADIUS и профиль подключения.