# Двухфакторная аутентификация для С-Терра VPN

## Описание

Настройка двухфакторной аутентификации С-Терра позволяет повысить безопасность удалённого доступа сотрудников. При подключении через VPN пользователи проходят двухэтапную проверку: вводят логин и пароль в С-Терра Клиенте и подтверждают вход вторым фактором.

С-Терра Шлюз передаёт запрос на проверку первого фактора по протоколу **RADIUS** в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.

Схема работы:

1. Пользователь подключается к корпоративной сети через С-Терра Клиент и вводит логин и пароль (первый фактор).
2. С-Терра Шлюз передаёт данные для проверки через RADIUS на локальный инстанс Simple2FA.
3. Локальный инстанс проверяет первый фактор по AD/LDAP или другому провайдеру.
4. При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
5. Пользователь подтверждает запрос.
6. После успешной проверки обоих факторов устанавливается VPN-соединение.

## Подготовка в Simple2FA

Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:

| Поле | Значение |
| --- | --- |
| Название | С-Терра VPN (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента С-Терра VPN (должна соответствовать атрибуту NAS-Identifier в запросах С-Терра VPN). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в настройках RADIUS на С-Терра VPN. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |

В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.

## Настройка С-Терра VPN

Настройка выполняется через консоль управления (Cisco-like CLI).

**Для версии 4.2:**

```text
Hub1(config)#aaa new-model
Hub1(config)#aaa authentication login SIMPLE2FA group radius
Hub1(config)#radius-server host <IP-адрес Simple2FA>
Hub1(config)#radius-server key <Shared Secret>
Hub1(config)#radius-server timeout 60
```

**Для версии 4.3:**

```text
Hub1(config)#aaa new-model
Hub1(config)#aaa authentication login SIMPLE2FA group radius
Hub1(config)#radius-server host <IP-адрес Simple2FA> auth-port 1812
Hub1(config)#radius-server key <Shared Secret>
Hub1(config)#radius-server timeout 60
Hub1(config)#aaa authentication banner "Введите логин и пароль"
```

- `<IP-адрес Simple2FA>` — адрес локального инстанса Simple2FA;
- `<Shared Secret>` — общий секрет из карточки ресурса Simple2FA.

В версии 4.2 порт по умолчанию — 1645; параметр **auth-port** не поддерживается.

Далее настройте методы аутентификации для динамической криптокарты и включите XAuth:

```text
Hub1(config)#crypto dynamic-map DMAP 1
Hub1(config-crypto-map)#set client authentication list SIMPLE2FA
Hub1(config-crypto-map)#set client authentication xauth
Hub1(config-crypto-map)#set client username interactive
Hub1(config-crypto-map)#exit
```

Список команд настройки RADIUS-клиента:

- [C-Терра Шлюз 4.3](http://doc.s-terra.ru/rh_output/4.3/Gate/output/index.htm#t=mergedProjects%2FConsole%2FКоманды_настройки_RADIUS-клиента.htm)
- [C-Терра Шлюз 4.2](http://doc.s-terra.ru/rh_output/4.2/Gate_ESR/output/index.htm#t=mergedProjects%2FConsole%2FКоманды_настройки_RADIUS-клиента.htm)

Построение VPN туннеля между С-Терра Шлюз и С-Терра Клиент c аутентификацией при помощи RADIUS сервера:

- [C-Терра Шлюз 4.3](https://doc.s-terra.ru/rh_output/4.3/Scenarios/output/index.htm#t=mergedProjects%2Fver_4_3_scn_1_06_client_xauth%2FПостроение_VPN_туннеля_между_шлюзом_безопасности_«С-Терра_Шлюз»_и_клиентом_«С-Терра_Клиент»_c.htm)
- [C-Терра Шлюз 4.2](http://doc.s-terra.ru/rh_output/4.2/Scenarios/output/mergedProjects/1main/ver_4_2_scn_1_06.pdf)

## Проверка работы

- Подключитесь к С-Терра VPN с тестовой учётной записью,
- Введите логин и пароль (первый фактор),
- Подтвердите вход вторым фактором.

Результат каждой попытки входа доступен в панели администратора, в разделе [«Попытки авторизации»](../../admin/auth-attempts.md).

## Смотрите также

- [VPN и сетевое оборудование](index.md)
- [Начало работы](../../start/index.md)
- [Сценарии использования](../../start/scenarios.md)