Описание

Двухфакторная аутентификация (2FA) для TACACS+ дополняет проверку логина и пароля администратора сетевого устройства одноразовым кодом из приложения-аутентификатора (TOTP). NAICE, выступая сервером авторизации TACACS+, после успешной проверки учетных данных запрашивает у устройства проверку второго фактора, который пользователь заранее настраивает самостоятельно на портале «Мой доступ».

Проверка 2FA может выполняться на двух этапах входа:

при логине — после ввода логина и пароля устройство запрашивает одноразовый код;
при повышении привилегий — код запрашивается на этапе enable: либо как отдельный запрос, либо вместо пароля enable.

Поведение 2FA задается в профиле TACACS+, который назначается в политике авторизации TACACS+.

Для настройки 2FA выполняется следующая последовательность действий:

Включить использование 2FA в профилях TACACS+ в глобальных настройках NAICE.
Создать или настроить профиль TACACS+ с включённой 2FA.
Указать созданный профиль в политике авторизации TACACS+.
Настроить второй фактор пользователю самостоятельно на портале «Мой доступ».
Проверить прохождение 2FA при входе на сетевое устройство и, при необходимости, в журнале событий TACACS+.

Как это работает

Проверка 2FA встроена в стандартный обмен по протоколу TACACS+ между устройством и NAICE и не требует дополнительных соединений между устройством и приложением-аутентификатором пользователя.

Устройство передаёт в NAICE логин и пароль пользователя.
После успешной проверки учётных данных NAICE возвращает устройству запрос дополнительных данных (GETDATA) с приглашением ввести одноразовый код.
Устройство запрашивает код у пользователя и передаёт его в NAICE, где выполняется сверка с текущим значением TOTP-кода либо с резервным кодом.
По результатам сверки в NAICE формируется разрешение (PASS) или отказ (FAIL), который передаётся устройству.

Запрос кода через GETDATA возможен только при использовании ASCII-диалога на соответствующем этапе обмена (login или enable). При протоколах без ASCII-диалога (например, PAP) отдельный запрос кода не выполняется. Результат проверки второго фактора фиксируется в деталях сессии TACACS+ в поле «Two-factor verified» (см. раздел «Просмотр событий TACACS+»).

Требования и ограничения

Для включения 2FA в профилях TACACS+ должна быть включена двухфакторная аутентификация в глобальных настройках NAICE. При отключении глобальной 2FA настройки 2FA в профилях TACACS+ сбрасываются.
Проверка 2FA при логине и проверка 2FA в режиме «Проверять 2FA при запросе повышения привилегий» требуют ASCII-диалога на соответствующем этапе обмена с устройством (GETDATA). При использовании иных протоколов аутентификации (например, PAP) вход или повышение привилегий отклоняются.
Флаги «Использовать 2FA в качестве пароля в запросе повышения привилегий» и «Проверять 2FA при запросе повышения привилегий» взаимоисключающие — можно использовать только один из них.
Проверка «Использовать 2FA в качестве пароля в запросе повышения привилегий» поддерживается любыми протоколами - не требует ASCII-диалога.
Поддерживаются только два способа второго фактора: Одноразовый код из приложения (TOTP) и Резервные коды.
Второй фактор настраивается пользователем самостоятельно на портале «Мой доступ» (TOTP). Без настроенной 2FA пользователь не сможет пройти проверку второго фактора на устройстве.
Системные профили TACACS+ (например, `Maximum privilege`) изменить нельзя — для включения 2FA создайте собственный профиль.

Настройка 2FA для TACACS+ в NAICE

Подробная информация о настройках для каждого раздела содержится во встроенной документации, которую можно просмотреть, нажав "Документация" в левом нижнем углу меню.

Данная статья описывает только настройку 2FA для TACACS+ в NAICE и прохождение проверки на устройстве. Про настройку NAICE как TACACS+ сервера, пользователей, политик без 2FA и самих сетевых устройств в статье "v1.3_ru_4.10 Настройка TACACS+ аутентификации/авторизации".

Включение глобальной 2FA для TACACS+

Для включения возможности использовать 2FA для TACACS+ необходимо:

Перейти в раздел «Системные настройки → Безопасность и доступ → Двухфакторная аутентификация»
В блоке "Настройка политики 2FA TACACS+" включить опцию «Использовать 2FA для TACACS+» (включает возможность задавать флаги 2FA в профилях TACACS+).
Нажать кнопку Сохранить. После этого в Профилях TACACS+ появляется возможность настройки 2FA.

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-9_15-25-15.png

При отключении этой опции настройки двухфакторной аутентификации в профилях TACACS+ будут сброшены.

Добавление профиля TACACS+ с 2FA

Необходимо перейти в раздел «Доступ к оборудованию → Элементы политик → Профили TACACS+» и нажать кнопку Добавить, либо выбрать существующий.

Заполнить обязательное поле: "Имя" - "tacacs_test_2fa".

При необходимости настроить уровень привилегий и пользовательские атрибуты (см. "v1.3_ru_4.10 Н астройка TACACS+ аутентификации/авторизации" раздел "Как выдать разные привилегии разным пользователям?").

В блоке "Двухфакторная аутентификация" настроить поведение 2FA:

Включить "Проверять 2FA при логине", чтобы устройство запрашивало одноразовый код после успешного ввода логина и пароля (требуется ASCII-диалог на этапе login);
При необходимости выбрать для повышения привилегий один из вариантов:
1. "Не проверять 2FA при запросе повышения привилегий";
2. "Использовать 2FA в качестве пароля в запросе повышения привилегий" — код 2FA вводится вместо пароля enable, поддерживаются любые протоколы;
3. "Проверять 2FA при запросе повышения привилегий" — после успешного ввода пароля enable устройство запросит одноразовый код (требуется ASCII-диалог на этапе enable).

Нажать кнопку Добавить.

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-12_13-59-34.png

Указание профиля в политике TACACS+

В разделе «Доступ к оборудованию → Политики TACACS+» необходимо открыть нужную политику нажав на и перейти в её настройки.

В блоке «Политика авторизации» добавить или отредактировать правило в политике авторизации:

в колонке «Условия» задать условие для целевых пользователей (например, "User identity·Identity Group Равно Администраторы TACACS");
в колонке «Профиль TACACS+» выбрать созданный ранее профиль с 2FA "tacacs_test_2fa";
в колонке «Набор команд TACACS+» указать требуемый набор (например, "Allow all").

Нажать кнопку Сохранить.

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-9_16-34-30.png

Настройка 2FA на портале «Мой доступ»

Под учетной записью пользователя (например, tacacs.user), которому предстоит входить на устройство по TACACS+, необходимо войти на портал «Мой доступ».

Портал «Мой доступ» доступен пользователям внутреннего источника Internal DB и внешних каталогов (MS AD, OpenLDAP), включенных в цепочку доступа портала. Источники типов Portal, Endpoints, Guest Endpoints при входе будут проигнорированы, даже если указаны в цепочке.

Открыть раздел настройки двухфакторной аутентификации, отсканировать QR-код (или ввести секрет вручную) в приложении-аутентификаторе и подтвердить активацию одноразовым кодом.

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-12_13-31-56.png

Сохранить резервные коды — они позволяют выполнить вход при недоступности приложения-аутентификатора.

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-15_20-21-30.png

Подтвердить действие в модальном окне о том, что после закрытия окна доступ к резервным кодам будет утерян, так как резервные коды отображаются только один раз.

Чтобы в будущем получить новые резервные коды необходимо нажать на «Резервные коды» → «Сгенерировать новые резервные коды».

После успешной активации TOTP способ получит статус «Активный».

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-9_16-43-40.png

На портале «Мой доступ» локальный пользователь (из источника Internal DB) может сменить пароль своей учётной записи. Этот пароль используется как для входа на портал, так и для аутентификации на сетевом оборудовании через TACACS+ или RADIUS. Пароль должен соответствовать текущей парольной политике пользователей сети.

Администратор NAICE может настраивать срок действия пароля пользователя и включать или отключать требование обязательной смены пароля при следующем входе. Подробнее — во встроенной документации, в разделах «Пользователи сети» и «Парольные политики сети».

При первом успешном входе пользователя — либо на портал «Мой доступ», либо на сетевое устройство через TACACS+ в NAICE в разделе «Доступы» автоматически создается запись.

Через неё администратор может:

просматривать дату и время последней активности пользователя на сетевом устройстве;
проверять, настроена ли у пользователя двухфакторная аутентификация (2FA);
принудительно сбрасывать настройки 2FA пользователя.

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-9_16-42-57.png

Проверка подключения и прохождение 2FA на устройстве

Предполагается, что устройство уже добавлено в NAICE с секретным ключом и настроено на аутентификацию по TACACS+ (настройку устройства см. в статье "v1.3_ru_4.10 Настройка TACACS+ аутентификации/авторизации".).

Для проверки необходимо подключиться к сетевому устройству под учетной записью пользователя с настроенной 2FA:

Ввести логин и пароль — они проверяются на сервере NAICE по цепочке источников идентификации, выбранной в политике TACACS+.
После успешной проверки учётных данных устройство запросит одноразовый код 2FA — необходимо ввести актуальный код из приложения-аутентификатора. Если в профиле выбран режим «Использовать 2FA в качестве пароля в запросе повышения привилегий», код вводится вместо пароля при выполнении enable.
Убедиться, что вход выполнен и пользователь авторизован с уровнем привилегий, заданным в профиле TACACS+.

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-12_14-7-7.png

Устройство предоставляет 3 попытки для ввода 2FA-кода при интерактивном вводе (GETDATA). Если все попытки неудачны, аутентификация отклоняется, и устройство повторно запрашивает пароль. В сценарии, когда 2FA-код вводится вместо пароля enable, повторный запрос кода не выполняется — отказ происходит после исчерпания попыток ввода пароля enable.

Просмотр событий TACACS+

Для мониторинга событий аутентификации и авторизации TACACS+ (включая результата проверки 2FA) необходимо открыть раздел «Мониторинг → TACACS+ → Журнал подключений».

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-12_14-31-46.png

Для просмотра подробной информации о событии необходимо нажать на в колонке "Подробнее" — в новой вкладке откроется окно с деталями проверки.

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-12_14-33-7.png

Результат проверки 2FA отображается в поле «Two-factor verified» блока деталей пакета AUTHENTICATION. Поле может принимать одно из трёх значений:

success - 2FA в профиле включена, одноразовый код принят (успешная сверка на этапе login или enable).
fail - Сверка кода выполнялась и была отклонена: введён неверный/просроченный код либо превышен лимит попыток ввода кода. В это же значение попадает сбой проверки на сервере 2FA (Cetus недоступен/таймаут).
not_applied - Сверка кода не выполнялась: 2FA выключена в применённом профиле TACACS+; аутентификация отклонена до этапа 2FA (например, неверный логин/пароль, пользователь не найден); 2FA в профиле включена, но у пользователя не настроены 2FA; сессия прервана/закрыта до ввода кода; отказ из-за несовместимого протокола (2FA запрошена на login/enable, но ASCII-диалог недоступен, например при PAP).

Вопросы и ответы

Где включается возможность настройки 2FA в профилях TACACS+?

В разделе «Системные настройки → Безопасность и доступ → Двухфакторная аутентификация». Пока двухфакторная аутентификация не включена глобально, флаги 2FA в профилях TACACS+ недоступны.

Чем отличаются "Использовать 2FA в качестве пароля" и "Проверять 2FA при запросе повышения привилегий"?

В режиме "Использовать 2FA в качестве пароля в запросе повышения привилегий" одноразовый код вводится вместо пароля enable — отдельных требований к протоколу нет, поддерживаются любые протоколы. В режиме "Проверять 2FA при запросе повышения привилегий" пользователь сначала вводит обычный пароль enable, а затем устройство отдельным запросом запрашивает код 2FA; этот режим требует ASCII-диалога на этапе enable, при иных протоколах повышение привилегий отклоняется. Флаги взаимоисключающие.

Как сбросить 2FA пользователя, если он потерял приложение-аутентификатор?

В NAICE открыть карточку владельца доступа (Пользователи и устройства → Управление идентификацией → Доступы) и выполнить "Сбросить настройки 2FA". Настройки будут сброшены, резервные коды аннулированы. После этого пользователь сможет успешно попасть на портал «Мой доступ» по логину/паролю и повторно настроить 2FA. До повторной настройки вход на устройства под политиками с обязательной 2FA невозможен; для экстренного входа можно использовать резервные коды, если они сохранены.

Можно ли включить 2FA только для части администраторов?

Да. 2FA задается не глобально для всех подключений, а в профиле TACACS+. Создайте два профиля (с 2FA и без), две политики авторизации с разными условиями по группам пользователей и назначьте каждой группе свой профиль TACACS+.

Решение проблем

Пользователь вводит верный логин и пароль, но вход отклоняется

Eltex Documentation > v1.3_4.10.1 Настройка двухфакторной аутентификации (2FA) для TACACS+ > image-2026-10-12_15-2-23.png

Наиболее вероятные причины:

В применённой политике авторизации используется профиль с включенной 2FA, а у пользователя 2FA не настроена или введен неактуальный код;

Если у пользователя не настроен 2FA, то будет возвращена ошибка "2FA is not configured. Please enroll at: https://<host>user-portal/auth/login/". Устройство отклоняет вход и разрывает попытку подключения.

Пользователю требуется перейти в портал «Мой доступ» и настроить 2FA.

На этапе login/enable на устройстве не используется ASCII-диалог, требуемый для соответствующего режима 2FA.

Если на устройстве используется протокол без ASCII-диалога, то будет возвращена ошибка "2fa required but not supported for this protocol" и устройство разрывает попытку подключения.

Для включения метода аутентификации ASCII на коммутаторах Eltex MES, необходимо выполнить команду:

tacacs-server authentication type ascii

Повышение привилегий enable отклоняется при включенной проверке 2FA

Необходимо проверить выбранный режим и совместимость с устройством:

для "Проверять 2FA при запросе повышения привилегий" требуется ASCII-диалог на этапе enable;
при использовании PAP/CHAP рекомендуется использовать режим "Использовать 2FA в качестве пароля".

Изменения 2FA не применяются к активным сессиям

Сброс или изменение настроек 2FA не воздействуют на уже установленные сессии на оборудовании. Для применения изменений необходимо завершить активную сессию пользователя на устройстве.