Описание

Двухфакторная аутентификация (2FA) для TACACS+ дополняет проверку логина и пароля администратора сетевого устройства одноразовым кодом из приложения-аутентификатора (TOTP). NAICE, выступая сервером авторизации TACACS+, после успешной проверки учетных данных запрашивает у устройства проверку второго фактора, который пользователь заранее настраивает самостоятельно на портале «Мой доступ».

Проверка 2FA может выполняться на двух этапах входа:

  • при логине — после ввода логина и пароля устройство запрашивает одноразовый код;
  • при повышении привилегий — код запрашивается на этапе enable: либо как отдельный запрос, либо вместо пароля enable.

Поведение 2FA задается в профиле TACACS+, который назначается в политике авторизации TACACS+.


Для настройки 2FA выполняется следующая последовательность действий:

  1. Включить использование 2FA в профилях TACACS+ в глобальных настройках NAICE.
  2. Создать или настроить профиль TACACS+ с включённой 2FA.
  3. Указать созданный профиль в политике авторизации TACACS+.
  4. Настроить второй фактор пользователю самостоятельно на портале «Мой доступ».
  5. Проверить прохождение 2FA при входе на сетевое устройство и, при необходимости, в журнале событий TACACS+.


Как это работает

Проверка 2FA встроена в стандартный обмен по протоколу TACACS+ между устройством и NAICE и не требует дополнительных соединений между устройством и приложением-аутентификатором пользователя.

  1. Устройство передаёт в NAICE логин и пароль пользователя.
  2. После успешной проверки учётных данных NAICE возвращает устройству запрос дополнительных данных (GETDATA) с приглашением ввести одноразовый код.
  3. Устройство запрашивает код у пользователя и передаёт его в NAICE, где выполняется сверка с текущим значением TOTP-кода либо с резервным кодом.
  4. По результатам сверки в NAICE формируется разрешение (PASS) или отказ (FAIL), который передаётся устройству.

Запрос кода через GETDATA возможен только при использовании ASCII-диалога на соответствующем этапе обмена (login или enable). При протоколах без ASCII-диалога (например, PAP) отдельный запрос кода не выполняется. Результат проверки второго фактора фиксируется в деталях сессии TACACS+ в поле «Two-factor verified» (см. раздел «Просмотр событий TACACS+»).

Требования и ограничения

  1. Для включения 2FA в профилях TACACS+ должна быть включена двухфакторная аутентификация в глобальных настройках NAICE. При отключении глобальной 2FA настройки 2FA в профилях TACACS+ сбрасываются.
  2. Проверка 2FA при логине и проверка 2FA в режиме «Проверять 2FA при запросе повышения привилегий» требуют ASCII-диалога на соответствующем этапе обмена с устройством (GETDATA). При использовании иных протоколов аутентификации (например, PAP) вход или повышение привилегий отклоняются.
  3. Флаги «Использовать 2FA в качестве пароля в запросе повышения привилегий» и «Проверять 2FA при запросе повышения привилегий» взаимоисключающие — можно использовать только один из них.
  4. Проверка «Использовать 2FA в качестве пароля в запросе повышения привилегий» поддерживается любыми протоколами - не требует ASCII-диалога.
  5. Поддерживаются только два способа второго фактора: Одноразовый код из приложения (TOTP) и Резервные коды.
  6. Второй фактор настраивается пользователем самостоятельно на портале «Мой доступ» (TOTP). Без настроенной 2FA пользователь не сможет пройти проверку второго фактора на устройстве.
  7. Системные профили TACACS+ (например, `Maximum privilege`) изменить нельзя — для включения 2FA создайте собственный профиль.

Настройка 2FA для TACACS+ в NAICE

Подробная информация о настройках для каждого раздела содержится во встроенной документации, которую можно просмотреть, нажав "Документация" в левом нижнем углу меню.

Данная статья описывает только настройку 2FA для TACACS+ в NAICE и прохождение проверки на устройстве. Про настройку NAICE как TACACS+ сервера, пользователей, политик без 2FA и самих сетевых устройств в статье "v1.3_ru_4.10 Настройка TACACS+ аутентификации/авторизации".

Включение глобальной 2FA для TACACS+

Для включения возможности использовать 2FA для TACACS+ необходимо:

  • Перейти в раздел «Системные настройки → Безопасность и доступ → Двухфакторная аутентификация»
  • В блоке "Настройка политики 2FA TACACS+" включить опцию «Использовать 2FA для TACACS+» (включает возможность задавать флаги 2FA в профилях TACACS+).
  • Нажать кнопку Сохранить. После этого в Профилях TACACS+ появляется возможность настройки 2FA.

При отключении этой опции настройки двухфакторной аутентификации в профилях TACACS+ будут сброшены.


Добавление профиля TACACS+ с 2FA

Необходимо перейти в раздел «Доступ к оборудованию → Элементы политик → Профили TACACS+» и нажать кнопку Добавить, либо выбрать существующий.

Заполнить обязательное поле: "Имя" - "tacacs_test_2fa".

При необходимости настроить уровень привилегий и пользовательские атрибуты (см. "v1.3_ru_4.10 Настройка TACACS+ аутентификации/авторизации" раздел "Как выдать разные привилегии разным пользователям?").

В блоке "Двухфакторная аутентификация" настроить поведение 2FA:

  1. Включить "Проверять 2FA при логине", чтобы устройство запрашивало одноразовый код после успешного ввода логина и пароля (требуется ASCII-диалог на этапе login);
  2. При необходимости выбрать для повышения привилегий один из вариантов:
    1. "Не проверять 2FA при запросе повышения привилегий";
    2. "Использовать 2FA в качестве пароля в запросе повышения привилегий" — код 2FA вводится вместо пароля enable, поддерживаются любые протоколы;
    3. "Проверять 2FA при запросе повышения привилегий" — после успешного ввода пароля enable устройство запросит одноразовый код (требуется ASCII-диалог на этапе enable). 

Нажать кнопку Добавить.


Указание профиля в политике TACACS+

В разделе «Доступ к оборудованию → Политики TACACS+» необходимо открыть нужную политику нажав на и перейти в её настройки.

В блоке «Политика авторизации» добавить или отредактировать правило в политике авторизации:

  • в колонке «Условия» задать условие для целевых пользователей (например, "User identity·Identity Group Равно Администраторы TACACS");
  • в колонке «Профиль TACACS+» выбрать созданный ранее профиль с 2FA "tacacs_test_2fa";
  • в колонке «Набор команд TACACS+» указать требуемый набор (например, "Allow all").

Нажать кнопку Сохранить.



Настройка 2FA на портале «Мой доступ»

Под учетной записью пользователя (например, tacacs.user), которому предстоит входить на устройство по TACACS+, необходимо войти на портал «Мой доступ».

Портал «Мой доступ» доступен пользователям внутреннего источника Internal DB и внешних каталогов (MS AD, OpenLDAP), включенных в цепочку доступа портала. Источники типов Portal, Endpoints, Guest Endpoints при входе будут проигнорированы, даже если указаны в цепочке.


Открыть раздел настройки двухфакторной аутентификации, отсканировать QR-код (или ввести секрет вручную) в приложении-аутентификаторе и подтвердить активацию одноразовым кодом.

Сохранить резервные коды — они позволяют выполнить вход при недоступности приложения-аутентификатора.

Подтвердить действие в модальном окне о том, что после закрытия окна доступ к резервным кодам будет утерян, так как резервные коды отображаются только один раз.

Чтобы в будущем получить новые резервные коды необходимо нажать на «Резервные коды» → «Сгенерировать новые резервные коды».


После успешной активации TOTP способ получит статус «Активный».


На портале «Мой доступ» локальный пользователь (из источника Internal DB) может сменить пароль своей учётной записи. Этот пароль используется как для входа на портал, так и для аутентификации на сетевом оборудовании через TACACS+ или RADIUS. Пароль должен соответствовать текущей парольной политике пользователей сети. 

Администратор NAICE может настраивать срок действия пароля пользователя и включать или отключать требование обязательной смены пароля при следующем входе. Подробнее — во встроенной документации, в разделах «Пользователи сети» и «Парольные политики сети».


При первом успешном входе пользователя — либо на портал «Мой доступ», либо на сетевое устройство через TACACS+ в NAICE в разделе «Доступы» автоматически создается запись.

Через неё администратор может:

  • просматривать дату и время последней активности пользователя на сетевом устройстве;

  • проверять, настроена ли у пользователя двухфакторная аутентификация (2FA);

  • принудительно сбрасывать настройки 2FA пользователя.

Проверка подключения и прохождение 2FA на устройстве

Предполагается, что устройство уже добавлено в NAICE с секретным ключом и настроено на аутентификацию по TACACS+ (настройку устройства см. в статье "v1.3_ru_4.10 Настройка TACACS+ аутентификации/авторизации".).


Для проверки необходимо подключиться к сетевому устройству под учетной записью пользователя с настроенной 2FA:

  1. Ввести логин и пароль — они проверяются на сервере NAICE по цепочке источников идентификации, выбранной в политике TACACS+.
  2. После успешной проверки учётных данных устройство запросит одноразовый код 2FA — необходимо ввести актуальный код из приложения-аутентификатора. Если в профиле выбран режим «Использовать 2FA в качестве пароля в запросе повышения привилегий», код вводится вместо пароля при выполнении enable.
  3. Убедиться, что вход выполнен и пользователь авторизован с уровнем привилегий, заданным в профиле TACACS+.

Устройство предоставляет 3 попытки для ввода 2FA-кода при интерактивном вводе (GETDATA). Если все попытки неудачны, аутентификация отклоняется, и устройство повторно запрашивает пароль. В сценарии, когда 2FA-код вводится вместо пароля enable, повторный запрос кода не выполняется — отказ происходит после исчерпания попыток ввода пароля enable.

Просмотр событий TACACS+

Для мониторинга событий аутентификации и авторизации TACACS+ (включая результата проверки 2FA) необходимо открыть раздел «Мониторинг → TACACS+ → Журнал подключений».

Для просмотра подробной информации о событии необходимо нажать на  в колонке "Подробнее" — в новой вкладке откроется окно с деталями проверки.


Результат проверки 2FA отображается в поле «Two-factor verified» блока деталей пакета AUTHENTICATION. Поле может принимать одно из трёх значений:

  • success - 2FA в профиле включена, одноразовый код принят (успешная сверка на этапе login или enable).
  • fail - Сверка кода выполнялась и была отклонена: введён неверный/просроченный код либо превышен лимит попыток ввода кода. В это же значение попадает сбой проверки на сервере 2FA (Cetus недоступен/таймаут).
  • not_applied - Сверка кода не выполнялась: 2FA выключена в применённом профиле TACACS+; аутентификация отклонена до этапа 2FA (например, неверный логин/пароль, пользователь не найден); 2FA в профиле включена, но у пользователя не настроены 2FA; сессия прервана/закрыта до ввода кода; отказ из-за несовместимого протокола (2FA запрошена на login/enable, но ASCII-диалог недоступен, например при PAP). 

Вопросы и ответы

Где включается возможность настройки 2FA в профилях TACACS+?

В разделе «Системные настройки → Безопасность и доступ → Двухфакторная аутентификация». Пока двухфакторная аутентификация не включена глобально, флаги 2FA в профилях TACACS+ недоступны.

Чем отличаются "Использовать 2FA в качестве пароля" и "Проверять 2FA при запросе повышения привилегий"?

В режиме "Использовать 2FA в качестве пароля в запросе повышения привилегий" одноразовый код вводится вместо пароля enable — отдельных требований к протоколу нет, поддерживаются любые протоколы. В режиме "Проверять 2FA при запросе повышения привилегий" пользователь сначала вводит обычный пароль enable, а затем устройство отдельным запросом запрашивает код 2FA; этот режим требует ASCII-диалога на этапе enable, при иных протоколах повышение привилегий отклоняется. Флаги взаимоисключающие.

Как сбросить 2FA пользователя, если он потерял приложение-аутентификатор?

В NAICE открыть карточку владельца доступа (Пользователи и устройства → Управление идентификацией → Доступы) и выполнить "Сбросить настройки 2FA". Настройки будут сброшены, резервные коды аннулированы. После этого пользователь сможет успешно попасть на портал «Мой доступ» по логину/паролю и повторно настроить 2FA. До повторной настройки вход на устройства под политиками с обязательной 2FA невозможен; для экстренного входа можно использовать резервные коды, если они сохранены.

Можно ли включить 2FA только для части администраторов?

Да. 2FA задается не глобально для всех подключений, а в профиле TACACS+. Создайте два профиля (с 2FA и без), две политики авторизации с разными условиями по группам пользователей и назначьте каждой группе свой профиль TACACS+.


Решение проблем

Пользователь вводит верный логин и пароль, но вход отклоняется

Наиболее вероятные причины:

  • В применённой политике авторизации используется профиль с включенной 2FA, а у пользователя 2FA не настроена или введен неактуальный код;

Если у пользователя не настроен 2FA, то будет возвращена ошибка "2FA is not configured. Please enroll at: https://<host>user-portal/auth/login/". Устройство отклоняет вход и разрывает попытку подключения. 

Пользователю требуется перейти в портал «Мой доступ» и настроить 2FA.


  • На этапе login/enable на устройстве не используется ASCII-диалог, требуемый для соответствующего режима 2FA.

Если на устройстве используется протокол без ASCII-диалога, то будет возвращена ошибка "2fa required but not supported for this protocol" и устройство разрывает попытку подключения.

Для включения метода аутентификации ASCII на коммутаторах Eltex MES, необходимо выполнить команду:

tacacs-server authentication type ascii


Повышение привилегий enable отклоняется при включенной проверке 2FA 

Необходимо проверить выбранный режим и совместимость с устройством:

  • для "Проверять 2FA при запросе повышения привилегий" требуется ASCII-диалог на этапе enable;
  • при использовании PAP/CHAP рекомендуется использовать режим "Использовать 2FA в качестве пароля".


Изменения 2FA не применяются к активным сессиям

Сброс или изменение настроек 2FA не воздействуют на уже установленные сессии на оборудовании. Для применения изменений необходимо завершить активную сессию пользователя на устройстве.


  • Нет меток