vpn 双因子

一、结论：完全支持 iNode 多因子登录（短信 / 动态令牌 OTP / 一次性密码）

二、两种部署方案（按需选择）

方案 1：原厂标准方案（iMC EIA，推荐，完美适配 iNode）

支持的二次认证类型

1. 短信验证码：对接短信猫 / 第三方短信网关，账号密码验证后下发手机一次性验证码
2. 软件动态令牌 TOTP：iNode 内置令牌、手机令牌 APP，60 秒刷新一次性密码
3. 硬件动态令牌：H3C DKEY 硬件 OTP 令牌
4. USB Key 数字证书：硬件证书双因子（无需短信网关，防火墙本地也可独立部署）

组网流程

关键配置要点

1. F5000 SSL VPN 虚拟网关认证方式改为 RADIUS 认证，指向 iMC EIA 服务器；
2. iMC EIA 开启 VPN 接入双因子策略，给员工绑定手机号 / 令牌密钥；
3. EIA 对接短信网关，配置短信模板下发一次性验证码；
4. iNode 客户端自动弹出二次验证码输入框，无需额外操作。

方案 2：第三方 MFA 认证服务器（无 iMC 场景）

1. F5000 SSL VPN 认证模式改为 RADIUS，指向第三方 MFA 服务器；
2. 用户输入账号 + 静态密码，MFA 服务器校验后推送短信 / 小程序验证码；
3. iNode 弹窗输入一次性密码，双重校验通过建立 VPN 隧道。

方案 3：纯防火墙本地部署（仅证书双因子，无短信 / 动态码）

1. F5000 内置 PKI 证书管理，给员工下发 USBKey 证书；
2. iNode 登录时必须同时输入账号密码、插入带证书的 USBKey，两层校验；
3. 缺陷：不支持短信、手机动态验证码。

三、iNode 客户端适配说明

• 账号密码校验通过后，客户端自动弹出动态密码输入窗口；
• 支持自动回填短信 / 令牌验证码，兼容 Windows/macOS 客户端；
• 可配置强制双因子，不填写二次验证码直接拒绝 VPN 接入。

四、版本适配补充（你的版本 Release 9660P53）

1. 该固件 SSL VPN 模块完整支持 RADIUS OTP 二次认证，无版本限制；
2. 若使用 iMC 配套，iMC 版本建议 E0630 及以上，完美联动短信令牌；
3. 仅本地证书双因子无需升级，开箱可用。

五、优缺点对比

六、最简总结

1. F5000+iNode能实现短信、动态一次性密码双因子，但防火墙自身不能单独实现短信 / 软件令牌，必须搭配 iMC EIA 或第三方 RADIUS 多因子服务器；
2. 仅 USBKey 数字证书双因子可直接在 F5000 本地配置，无需额外服务器；
3. iNode 客户端会自动弹出二次验证码输入框，无需更换客户端。