# Двухфакторная аутентификация для Palo Alto GlobalProtect

## Описание

При подключении к VPN через Palo Alto GlobalProtect пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.

Межсетевой экран Palo Alto передаёт запрос на проверку первого фактора по протоколу **RADIUS** в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.

Схема работы:

1. Пользователь запускает клиент GlobalProtect и вводит логин и пароль (первый фактор).
2. Palo Alto направляет запрос аутентификации через RADIUS на локальный инстанс Simple2FA.
3. Локальный инстанс проверяет логин и пароль по AD/LDAP или другому поставщику учётных записей.
4. При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
5. Пользователь подтверждает второй фактор.
6. После успешной проверки обоих факторов доступ к VPN разрешается.

## Подготовка в Simple2FA

Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:

| Поле | Значение |
| --- | --- |
| Название | Palo Alto GlobalProtect (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента Palo Alto (должна соответствовать атрибуту NAS-Identifier в запросах межсетевого экрана). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в профиле RADIUS-сервера на Palo Alto. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |

В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.

## Настройка Palo Alto

**1) Создайте профиль RADIUS-сервера**

1. Войдите в веб-консоль Palo Alto и перейдите в раздел **Device → Server Profiles → RADIUS**.
2. Нажмите **Add** и заполните параметры профиля:
    - **Profile Name:** например SIMPLE2FA;
    - **Timeout:** 40–60 секунд (время на подтверждение второго фактора);
    - **Retries:** 3;
    - **Authentication Protocol:** PAP.
3. В разделе **Servers** нажмите **Add** и укажите:
    - **Name:** например Simple2FA;
    - **RADIUS Server:** IP-адрес локального инстанса Simple2FA;
    - **Secret:** Shared Secret из карточки ресурса Simple2FA;
    - **Port:** порт RADIUS из карточки ресурса Simple2FA (по умолчанию 1812).

На устаревших версиях PAN-OS 7.x протокол аутентификации задаётся только из командной строки:

```text
set authentication-type PAP
```

**2) Создайте профиль аутентификации**

1. Перейдите в раздел **Device → Authentication Profile** и нажмите **Add**.
2. Заполните параметры:
    - **Name:** например SIMPLE2FA;
    - **Type:** RADIUS;
    - **Server Profile:** созданный ранее профиль RADIUS-сервера;
    - **User Domain:** оставьте пустым;
    - **Username Modifier:** %USERINPUT%.
3. На вкладке **Advanced** в разделе **Allow List** нажмите **Add** и выберите **all**.
4. Нажмите **OK** для сохранения профиля.

**3) Настройте шлюз GlobalProtect**

1. Перейдите в раздел **Network → GlobalProtect → Gateways** и откройте ваш шлюз.
2. На вкладке **Authentication** в разделе **Client Authentication** измените текущую запись или создайте новую кнопкой **Add**:
    - **Name:** например SIMPLE2FA;
    - **OS:** Any;
    - **Authentication Profile:** созданный ранее профиль аутентификации.
3. Нажмите **OK** для сохранения.

**4) Настройте портал GlobalProtect**

1. Перейдите в раздел **Network → GlobalProtect → Portals** и откройте ваш портал.
2. На вкладке **Authentication** в разделе **Client Authentication** укажите тот же профиль аутентификации (аналогично шлюзу).
3. Нажмите **OK** для сохранения.

**5) (Опционально) Включите Authentication Override**

Портал и шлюз GlobalProtect по умолчанию выполняют аутентификацию независимо — без дополнительной настройки пользователь будет подтверждать второй фактор дважды за одно подключение. Механизм Authentication Override решает эту проблему с помощью зашифрованных cookie:

1. В настройках портала перейдите на вкладку **Agent** и откройте свойства профиля агента.
2. В разделе **Authentication Override** включите оба параметра:
    - **Generate cookie for authentication override;**
    - **Accept cookie for authentication override** — для этого параметра необходимо выбрать сертификат для шифрования cookie.
3. Повторите настройку в свойствах шлюза (вкладка **Agent**).
4. Нажмите **OK** для сохранения.

**6) Сохраните конфигурацию**

Нажмите **Commit** в правом верхнем углу консоли, просмотрите изменения и подтвердите их применение.

## Проверка работы

- Откройте клиент GlobalProtect, укажите адрес вашего портала и нажмите «Подключиться»,
- Введите логин и пароль (первый фактор),
- Получите запрос второго фактора,
- Подтвердите второй фактор,
- После подтверждения доступ к VPN будет разрешён.

Результат каждой попытки входа доступен в панели администратора, в разделе [«Попытки авторизации»](../../admin/auth-attempts.md).

## Если что-то не работает

По умолчанию Palo Alto отправляет RADIUS-запросы с management-интерфейса через его маршрут по умолчанию. Если локальный инстанс Simple2FA недоступен из сети управления, RADIUS-трафик нужно направить через data-интерфейс одним из способов:

- **Статический маршрут:** в разделе **Network → Virtual Routers → [ваш VR] → Static Routes** добавьте маршрут до IP-адреса локального инстанса Simple2FA через нужный интерфейс;
- **Policy-Based Forwarding:** в разделе **Policies → Policy Based Forwarding** создайте правило для сервиса RADIUS (UDP 1812) с направлением на нужный интерфейс.

Для проверки выполните тест аутентификации и убедитесь в разделе **Monitor → Traffic** (фильтр **service eq radius**), что трафик уходит через ожидаемый интерфейс.

## Смотрите также

- [VPN и сетевое оборудование](index.md)
- [Начало работы](../../start/index.md)
- [Сценарии использования](../../start/scenarios.md)