# Варианты размещения

Simple2FA поставляется в четырёх вариантах размещения. Различаются они тем, где находится облачная часть второго фактора и нужен ли доступ в интернет; сервер, консоль администратора, каталоги учётных записей и RADIUS во всех локальных вариантах остаются в контуре организации.

## Сводная таблица

| | Гибрид | Автономный контур | Частное облако | Облачный сервис |
| --- | --- | --- | --- | --- |
| Сервер, консоль, каталоги, RADIUS | в вашем контуре | в вашем контуре | в вашем контуре | не разворачиваются |
| Облачная часть второго фактора | облако Orbsoft | в вашем закрытом периметре | в вашем ЦОДе | облако Orbsoft |
| Пароли, секреты, ключи | не покидают контур | не покидают контур | не покидают контур | на стороне защищаемой системы |
| Что уходит наружу | только логин и результат подтверждения | ничего | ничего — данные не проходят через Orbsoft | — |
| Интернет | только исходящий TCP 443 | не требуется | из ЦОДа | требуется |
| Способы подтверждения | все | TOTP: офлайн-приложение или аппаратный токен | все | все |

## Гибрид — сервер у вас, облако Orbsoft

Локальный инстанс Simple2FA (бэкенд и консоль администратора) разворачивается в периметре организации и работает с внутренними ресурсами: каталогом учётных записей (AD, LDAP, Samba, Keycloak), первым фактором, RADIUS для VPN и VDI. Облачная часть Orbsoft отвечает за доставку подтверждений, требующих внешних сервисов. Связь сервера с облаком — по API-ключу организации, исходящее соединение TCP 443. Пароли периметр не покидают: наружу передаётся только логин.

**Для кого:** основной сценарий для корпоративных заказчиков — внутренняя инфраструктура защищена, но допустим исходящий канал в интернет.

## Автономный контур — без доступа в интернет

Все компоненты, включая облачную часть, разворачиваются в закрытом периметре организации без доступа в интернет.

**Для кого:** регулируемые заказчики и закрытые контуры (ГИС, КИИ), сценарии, где требуется полная автономность: сервер, RADIUS и TOTP.

!!! warning "Следствие для способов подтверждения"
    Без интернета недоступны каналы доставки, которым нужны внешние сервисы. Рабочий способ — TOTP: коды генерируются офлайн в мобильном приложении или аппаратном токене и проверяются локально.

## Частное облако — выделенное облако в вашем ЦОДе

Локальный инстанс размещается в закрытом периметре организации, а облачная часть — тоже в её инфраструктуре, но в ЦОДе, имеющем выход в интернет. Фактически это гибрид, в котором роль облака Orbsoft выполняет выделенная инсталляция заказчика.

**Отличие от гибрида:** облачная часть принадлежит заказчику, данные не проходят через инфраструктуру Orbsoft.

**Отличие от автономного контура:** за счёт интернета в ЦОДе сохраняются все способы подтверждения, а не только TOTP.

**Для кого:** заказчики, которым нужен полный контроль над инфраструктурой без потери каналов доставки подтверждений.

## Облачный сервис — без установки { #облачный-сервис }

Вся система, включая консоль администратора, размещена в инфраструктуре Orbsoft и доступна через интернет. Разворачивать у себя ничего не нужно: информационные системы подключаются к облаку напрямую по API.

**Для кого:** небольшие и средние компании без требований к размещению данных в собственном контуре.

**Ограничение:** первый фактор проверяется на стороне защищаемой системы — интеграции с внутренним каталогом нет. Работа по RADIUS недоступна.

## Смотрите также

- [Начало работы](index.md)
- [Установка локального инстанса](local-instance.md)
- [Способы подтверждения](../reference/methods.md)
- [О продукте](../reference/product.md)