# Двухфакторная аутентификация для FortiGate VPN

## Описание

При подключении к VPN через FortiGate пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и затем подтверждают вход вторым фактором.

Схема работы:

1. Пользователь запускает FortiClient или веб-VPN, вводит логин и пароль (первый фактор).
2. FortiGate направляет запрос аутентификации через RADIUS на локальный инстанс Simple2FA.
3. Локальный инстанс проверяет логин и пароль по AD/LDAP или другому провайдеру первого фактора.
4. При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
5. Пользователь подтверждает второй фактор.
6. После успешной проверки обоих факторов доступ к VPN разрешается.

## Подготовка в Simple2FA

Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:

| Поле | Значение |
| --- | --- |
| Название | FortiGate VPN (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента FortiGate VPN (должна соответствовать атрибуту NAS-Identifier в запросах FortiGate VPN). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в настройках RADIUS на FortiGate VPN. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |

В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.

## Настройка FortiGate VPN

1. Откройте административную консоль FortiGate.
2. Перейдите в **User & Device → Authentication → RADIUS Servers** и добавьте новый сервер RADIUS:
    - **Name:** MFA_Radius (или другое название)
    - **Primary Server IP/Name:** адрес локального инстанса Simple2FA
    - **Primary Server Secret:** тот же Shared Secret, что в настройках Simple2FA
    - **Authentication Method:** PAP
3. Перейдите в **User & Device → User Groups**, создайте группу пользователей, например **VPN Users**, и добавьте к ней созданный RADIUS-сервер как Remote Server.
4. Настройте правила доступа:
    - Перейдите в Policy & Objects → Policy → IPv4 или соответствующую политику доступа для VPN.
    - **Incoming interface:** SSL-VPN интерфейс (например, ssl.root)
    - **Source Users:** VPN Users (группа из предыдущего пункта)
5. Настройте таймаут ожидания ответа от RADIUS-сервера — пользователю нужно время на подтверждение. Откройте CLI на FortiGate и выполните команды:

    ```text
    # глобальный таймаут
    config system global
        set remoteauthtimeout 60
    end

    # таймаут конкретного RADIUS-сервера
    config user radius
        edit MFA_Radius
            set timeout 60
        end
    ```

    Это увеличит время ожидания ответа до 60 секунд, чтобы пользователь успел подтвердить второй фактор.

## Проверка работы

- Запустите VPN (FortiClient или веб-интерфейс),
- Введите логин и пароль (первый фактор),
- Получите запрос второго фактора,
- Подтвердите второй фактор.
- После подтверждения доступ к VPN будет разрешён.

## Смотрите также

- [VPN и сетевое оборудование](index.md)
- [Начало работы](../../start/index.md)
- [Сценарии использования](../../start/scenarios.md)