# Двухфакторная аутентификация для КриптоПро NGate

## Описание

При подключении к VPN через КриптоПро NGate пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.

Проверка первого фактора выполняется шлюзом NGate по LDAP-каталогу. Для проверки второго фактора NGate обращается по протоколу **RADIUS** к локальному инстансу Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.

Схема работы:

1. Пользователь подключается к VPN и вводит логин и пароль в клиенте CryptoPro NGate.
2. Шлюз NGate проверяет логин и пароль пользователя в LDAP-каталоге (первый фактор).
3. При успешной проверке первого фактора NGate по протоколу RADIUS отправляет запрос второго фактора в локальный инстанс Simple2FA.
4. Локальный инстанс запрашивает у пользователя подтверждение вторым фактором.
5. Пользователь подтверждает вход.
6. После успешной проверки обоих факторов доступ к VPN разрешается.

Для проверки второго фактора используется логин пользователя из LDAP-каталога. Пользователь с таким логином должен существовать в Simple2FA.

## Подготовка в Simple2FA

Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:

| Поле | Значение |
| --- | --- |
| Название | NGate VPN (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента NGate (должна соответствовать атрибуту NAS-Identifier в запросах NGate). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в настройках RADIUS-сервера на NGate. Создаётся автоматически |
| Проверять первый фактор | Отключить — первый фактор проверяется шлюзом NGate по LDAP-каталогу |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |

В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.

## Настройка NGate

Настройка шлюза NGate и LDAP-сервера должна быть выполнена заранее. Откройте панель управления NGate и в разделе **«Кластеры» → «Все конфигурации»** выберите вашу конфигурацию.

**Настройка LDAP-клиента**

1. В настраиваемой конфигурации перейдите на вкладку **«Внешние службы»**.
2. В разделе **«LDAP-сервер»** нажмите **«Привязать»** для перехода на страницу настройки LDAP-серверов.
3. Если LDAP-сервер отсутствует, добавьте новый нажатием кнопки **«+»**, задайте его параметры и сохраните.
4. Выполните привязку LDAP-сервера к конфигурации.

**Настройка RADIUS-клиента**

1. В настраиваемой конфигурации перейдите на вкладку **«Внешние службы»**.
2. В разделе **«RADIUS-сервер»** нажмите **«Привязать»**, затем **«+»** (создание RADIUS-сервера).
3. Задайте параметры подключения к локальному инстансу Simple2FA:
    - **RADIUS name:** Simple2FA;
    - **RADIUS server address:** IP-адрес локального инстанса Simple2FA;
    - **RADIUS server port:** порт RADIUS из карточки ресурса Simple2FA (по умолчанию 1812);
    - **Secret:** Shared Secret из карточки ресурса Simple2FA.
4. Сохраните и выполните привязку RADIUS-сервера Simple2FA к конфигурации.

Если в настройках RADIUS-сервера доступен таймаут ответа, установите его в диапазоне 40–60 секунд — это время нужно пользователю на подтверждение второго фактора.

**Настройка портала NGate**

1. В настраиваемой конфигурации перейдите на вкладку **«Порталы»** и откройте редактирование вашего портала.
2. Нажмите **«Расширенные настройки»** и задайте следующую конфигурацию:
    - **Метод аутентификации пользователей:** Логин/пароль (LDAP);
    - **Использовать RADIUS:** включить;
    - **Отправлять пароль в LDAP:** включить;
    - **Отправлять пароль в RADIUS:** выключить;
    - **Запрашивать OTP:** включить, если пользователи будут вводить одноразовый код.

Подробнее о конфигурации портала — в [документации КриптоПро NGate](https://cpdn.cryptopro.ru/content/ngate/admin-guide/source/05-gate-web-setting/resources-setting/concept-portal-creation.html).

**Настройка пользовательской машины**

Настройте рабочее место пользователя (установка клиента CryptoPro NGate) по [инструкции вендора](https://cpdn.cryptopro.ru/content/ngate/admin-guide/source/13-setting-examples/task-setting-ngate-client-workstation-vpn-access.html).

## Проверка работы

- Откройте клиент CryptoPro NGate и укажите адрес вашего шлюза,
- Нажмите «Подключить»,
- Введите логин и пароль пользователя из LDAP-каталога (первый фактор),
- Получите запрос второго фактора,
- Подтвердите второй фактор,
- После подтверждения доступ к VPN будет разрешён.

Результат каждой попытки входа доступен в панели администратора, в разделе [«Попытки авторизации»](../../admin/auth-attempts.md).

## Смотрите также

- [VPN и сетевое оборудование](index.md)
- [Начало работы](../../start/index.md)
- [Сценарии использования](../../start/scenarios.md)