# Двухфакторная аутентификация для Citrix Gateway

## Описание

При подключении к Citrix Gateway (NetScaler) пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.

Citrix Gateway передаёт запрос на проверку первого фактора по протоколу **RADIUS** в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.

Схема работы:

1. Пользователь открывает Citrix Gateway и вводит логин и пароль (первый фактор).
2. Citrix Gateway направляет запрос аутентификации через RADIUS на локальный инстанс Simple2FA.
3. Локальный инстанс проверяет логин и пароль по AD/LDAP или другому провайдеру первого фактора.
4. При успешной проверке запрашивается подтверждение вторым фактором.
5. Пользователь подтверждает второй фактор.
6. После успешной проверки обоих факторов доступ к Citrix-среде разрешается.

## Подготовка в Simple2FA

Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:

| Поле | Значение |
| --- | --- |
| Название | Citrix Gateway (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента Citrix (должна соответствовать атрибуту NAS-Identifier в запросах Citrix). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в настройках RADIUS на Citrix Gateway. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |

В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.

## Настройка Citrix Gateway (NetScaler)

Настройка выполняется через консоль управления Citrix ADC / NetScaler.

**1) Добавьте RADIUS-сервер**

```text
add authentication radiusAction Simple2FA-RADIUS -serverIP <IP-адрес локального Simple2FA> \
-radKey <Shared Secret> -authTimeout 60 -passEncoding pap
```

!!! warning "Только PAP"
    `-passEncoding` должен быть `pap`: при MS-CHAPv2 пароль передаётся не в открытом виде, и Simple2FA не сможет проверить первый фактор по каталогу. Запрос защищён общим секретом RADIUS и не выходит за пределы вашего контура.

**2) Создайте политику аутентификации**

```text
add authentication Policy Simple2FA-Policy -rule true -action Simple2FA-RADIUS
```

**3) Привяжите политику к виртуальному серверу (VPN vServer)**

```text
bind vpn vserver <VPN-vServer-Name> -policy Simple2FA-Policy -priority 100
```

## Проверка работы

- Подключитесь к Citrix Gateway с тестовой учётной записи,
- Введите логин и пароль (первый фактор),
- Получите запрос второго фактора,
- Подтвердите вход,
- После успешной проверки доступ к Citrix будет предоставлен.

Результат каждой попытки входа доступен в панели администратора, в разделе [«Попытки авторизации»](../../admin/auth-attempts.md).

## Смотрите также

- [Рабочие столы и Windows](index.md)
- [Документация Citrix ADC](https://developer-docs.netscaler.com/en-us/adc-advanced-policy-expression-reference/current-release/)
- [Начало работы](../../start/index.md)
- [Сценарии использования](../../start/scenarios.md)