# Двухфакторная аутентификация для BI.ZONE ZTNA

## Описание

При подключении к корпоративным ресурсам через BI.ZONE ZTNA пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.

BI.ZONE ZTNA передаёт запрос на проверку первого фактора по протоколу **RADIUS** в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.

Схема работы:

1. Пользователь подключается к BI.ZONE ZTNA и вводит логин и пароль (первый фактор).
2. BI.ZONE ZTNA направляет запрос аутентификации через RADIUS на локальный инстанс Simple2FA.
3. Локальный инстанс проверяет логин и пароль по AD/LDAP или другому поставщику учётных записей.
4. При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
5. Пользователь подтверждает второй фактор.
6. После успешной проверки обоих факторов доступ к ресурсам разрешается.

## Подготовка в Simple2FA

Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:

| Поле | Значение |
| --- | --- |
| Название | BI.ZONE ZTNA (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента BI.ZONE ZTNA. Создаётся автоматически; это значение будет указано в настройках аутентификации BI.ZONE ZTNA |
| Shared Secret | Общий секрет, который будет использоваться в настройках аутентификации BI.ZONE ZTNA. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |

В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.

## Настройка BI.ZONE ZTNA

**1) Создайте конфигурацию аутентификации**

1. Перейдите в веб-интерфейс Контроллера CSP.
2. В меню слева выберите **Administration → RA VPN**.
3. Перейдите на вкладку **Authentication**.
4. Нажмите кнопку **Add auth config** — откроется окно **New auth config**.
5. Укажите параметры конфигурации:
    - **Name:** название конфигурации, например SIMPLE2FA;
    - **Authentication:** RADIUS;
    - **Identity Provider:** выберите ранее созданный Identity Provider;
    - **Server address:** IP-адрес локального инстанса Simple2FA;
    - **Server port:** порт RADIUS из карточки ресурса Simple2FA (по умолчанию 1812);
    - **Shared secret:** Shared Secret из карточки ресурса Simple2FA;
    - **NAS ID:** значение NAS ID из карточки ресурса Simple2FA.
6. Нажмите кнопку **Add** — конфигурация аутентификации будет добавлена.

Если в конфигурации доступен таймаут ответа RADIUS-сервера, установите его в диапазоне 40–60 секунд — это время нужно пользователю на подтверждение второго фактора.

**2) Назначьте конфигурацию профилю подключения**

1. В том же разделе откройте редактирование профиля подключения (если профиля ещё нет — создайте его).
2. В блоке **Common settings** найдите поле **auth config** и назначьте созданную конфигурацию.
3. Сохраните профиль.

## Проверка работы

- Подключитесь к BI.ZONE ZTNA с использованием настроенного профиля,
- Введите логин и пароль (первый фактор),
- Получите запрос второго фактора,
- Подтвердите второй фактор,
- После подтверждения доступ будет разрешён.

Результат каждой попытки входа доступен в панели администратора, в разделе [«Попытки авторизации»](../../admin/auth-attempts.md).

## Смотрите также

- [VPN и сетевое оборудование](index.md)
- [Начало работы](../../start/index.md)
- [Сценарии использования](../../start/scenarios.md)