# Двухфакторная аутентификация для Check Point VPN

## Описание

При подключении к Remote Access VPN на межсетевом экране Check Point пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.

Check Point передаёт запрос на проверку первого фактора по протоколу **RADIUS** в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.

Схема работы:

1. Пользователь подключается к VPN и вводит логин/пароль в клиенте Remote Access (Endpoint Security / Mobile Access).
2. Check Point направляет запрос аутентификации через RADIUS на локальный инстанс Simple2FA.
3. Локальный инстанс проверяет логин и пароль по AD/LDAP или другому поставщику учётных записей.
4. При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
5. Пользователь подтверждает второй фактор.
6. После успешной проверки обоих факторов доступ к VPN разрешается.

## Подготовка в Simple2FA

Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:

| Поле | Значение |
| --- | --- |
| Название | Check Point VPN (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента Check Point (должна соответствовать атрибуту NAS-Identifier в запросах шлюза). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в объекте RADIUS-сервера на Check Point. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |

В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.

## Настройка Check Point

Настройка выполняется в консоли управления **SmartConsole**.

**1) Создайте объект RADIUS-сервера**

1. В разделе объектов справа выберите **New → Server → More → RADIUS**.
2. Заполните параметры:
    - **Название:** например Simple2FA Radius Server;
    - **Host:** объект хоста с IP-адресом локального инстанса Simple2FA (создайте новый или выберите существующий);
    - **Service:** NEW-RADIUS (порт 1812);
    - **Shared Secret:** Shared Secret из карточки ресурса Simple2FA;
    - **Version:** RADIUS Ver. 2.0;
    - **Authentication method:** PAP.

**2) Настройте аутентификацию Remote Access VPN**

1. Откройте настройки объекта шлюза безопасности Check Point и перейдите в раздел **Mobile Access → Authentication**, затем откройте **Settings**:
    - **Allow newer clients that support Multiple Login Options to use this authentication method:** включить;
    - **Authentication method:** RADIUS;
    - **Server:** созданный объект Simple2FA Radius Server.
2. Повторите те же настройки в разделе **VPN Clients → Authentication** — конфигурация в обоих разделах должна совпадать.

**3) Настройте группу пользователей (Access Role)**

В разделе объектов выберите **New → More → User → Access Role**, задайте параметры нового объекта и укажите источник данных о пользователях.

**4) Настройте политику доступа**

В разделе **Security Policies → Policy** создайте правило доступа пользователей Remote Access VPN к внутренней сети:

```text
Source: <созданная ранее Access Role>
VPN: RemoteAccess
```

**5) Увеличьте таймаут RADIUS**

По умолчанию таймаут ожидания ответа RADIUS у Check Point слишком мал для подтверждения второго фактора. Увеличьте его:

1. Нажмите на иконку меню в левом верхнем углу SmartConsole и выберите **Global Properties → Advanced → Configure → FireWall-1 → Authentication → RADIUS**.
2. Установите параметр **radius_retrant_timeout** равным 60 секундам.

**6) Опубликуйте и установите политику**

Нажмите **Publish**, затем **Install Policy**, чтобы применить изменения на шлюзе.

## Проверка работы

- Подключитесь к шлюзу клиентом Remote Access (Endpoint Security / Mobile Access),
- Введите логин и пароль (первый фактор),
- Получите запрос второго фактора,
- Подтвердите второй фактор,
- После подтверждения доступ к VPN будет разрешён.

Результат каждой попытки входа доступен в панели администратора, в разделе [«Попытки авторизации»](../../admin/auth-attempts.md).

## Смотрите также

- [VPN и сетевое оборудование](index.md)
- [Начало работы](../../start/index.md)
- [Документация Check Point по аутентификации Remote Access](https://sc1.checkpoint.com/documents/R81.20/WebAdminGuides/EN/CP_R81.20_RemoteAccessVPN_AdminGuide/Content/Topics-VPNRG/User-and-Client-Authentication.htm)
- [Сценарии использования](../../start/scenarios.md)