菜单

多因素认证

下载

术语说明

术语 说明
双因素认证（2FA/MFA） 结合两类不同认证要素（所知的静态密码+持有的动态口令）验证身份的方式，也称多因素认证（MFA）。本方案统一采用“静态密码+OTP动态口令”组合。
静态密码 用户固定的登录口令，由操作系统、应用本地认证体系或目录服务验证。
OTP动态口令 One-Time Password，一次性口令，由宁盾令牌（手机APP、硬件令牌或短信）生成，周期性刷新、一次有效。
组合密码 将静态密码与OTP按“静态密码+OTP”顺序拼接后一次性输入的密码形式，常见于LDAP接入及RADIUS PAP认证场景。
宁盾MFA服务器（DKEY） 宁盾双因素认证系统，负责用户管理与OTP校验，对外提供认证API、RADIUS、LDAP等认证接口。
认证API 宁盾MFA服务器提供的HTTP认证接口（默认端口8080/8443），供宁盾自研组件（如DKEY Winlogin登录组件）或第三方应用开发调用提交认证请求。
RADIUS Remote Authentication Dial In User Service，远程用户拨号认证服务，使用UDP 1812（认证）/1813（计费），常用于Linux PAM及网络设备对接MFA。
PAM Pluggable Authentication Modules，Linux可插拔认证模块，通过认证链协调本地静态密码验证与宁盾MFA服务器的OTP验证。
Keyboard Interactive SSH交互式认证方式，服务端可分步提示输入，是Linux登录时弹出OTP输入提示的前提条件。
LDAP/LDAPS 轻量级目录访问协议（TCP 389）及其TLS加密形式（TCP 636）；应用可将宁盾MFA服务器配置为LDAP认证服务完成组合密码校验。
Search Bind / Bind LDAP认证的两个步骤：先用连接账号搜索用户获取完整DN（Search），再用用户DN和密码验证身份（Bind）。
Base DN LDAP搜索的基准DN（Distinguished Name），限定用户查找范围，以项目实际配置为准。
RDP Remote Desktop Protocol，Windows远程桌面协议，默认TCP 3389。
SSH/Telnet 网络设备和服务器的远程管理协议，SSH默认TCP 22，Telnet默认TCP 23。

认证场景：

Windows终端或服务器

适用范围

Windows终端或服务器本地登陆、RDP登录（RDP TCP 3389）。

使用宁盾自研登录组件（DKEY Winlogin）介入Windows登录流程，通过宁盾认证API（HTTP 8080/8443）与宁盾MFA服务器交互。

认证流程

  1. 用户通过本地登陆或RDP登陆输入用户名和静态密码。

  2. Windows认证机制验证静态密码。

  3. 密码通过后，宁盾登录组件提示输入OTP。

  4. 登录组件通过宁盾认证API（HTTP 8080/8443）向宁盾MFA服务器提交OTP。

  5. OTP成功后允许登录，失败则拒绝。

Image

认证说明

项目 行为
静态密码 由Windows认证机制验证
通信通道 Windows需放通到宁盾MFA服务器的HTTP 8080/8443（建议HTTPS）
OTP 由宁盾MFA服务器验证（宁盾认证API，HTTP 8080/8443）

Linux服务器

适用范围

Linux服务器SSH登录（支持CentOS/RHEL 5/6/7、Ubuntu 20.x、麒麟/统信、SUSE等主流及信创系统）。通过PAM认证链协调Linux本地静态密码验证与宁盾MFA服务器的OTP验证；PAM通过RADIUS协议（UDP 1812/1813）将OTP提交至宁盾MFA服务器。

认证流程

  1. 用户通过SSH发起登录（客户端需启用Keyboard Interactive认证方式），输入用户名和静态密码。

  2. Linux本地认证（pam_unix）验证用户名与静态密码。

  3. 密码通过后，PAM提示输入OTP动态密码。

  4. PAM通过RADIUS（UDP 1812/1813）将用户名及OTP发送至宁盾MFA服务器。

  5. 宁盾MFA服务器校验OTP并返回结果。

  6. 静态密码和OTP均成功后登录，否则拒绝。

Image

注：SSH客户端需启用Keyboard Interactive认证方式（如SecureCRT、XShell），否则无法弹出动态口令输入提示。

认证说明

项目 行为
静态密码 Linux本地验证，不依赖宁盾MFA服务器
RADIUS通道 需放通UDP 1812/1813；共享密钥与AM设备配置一致；可配置多个RADIUS服务器实现热备（超时建议10–30秒，多服务器建议10秒以下）
OTP 由宁盾MFA服务器验证

网络设备（SSH/Telnet）

适用范围

交换机、路由器、防火墙等网络设备的SSH/Telnet管理登录（SSH TCP 22、Telnet TCP 23）。设备作为RADIUS客户端，通过RADIUS协议（UDP 1812/1813）与宁盾MFA服务器交互，实现管理员静态密码与OTP的双因素认证。

认证流程

  1. 管理员通过SSH或Telnet登录网络设备，输入用户名和密码（组合密码模式下输入“静态密码+OTP”组合密码）。

  2. 网络设备作为RADIUS客户端，将用户名及密码通过RADIUS（UDP 1812/1813）提交至宁盾MFA服务器。

  3. 宁盾MFA服务器按配置规则拆分组合密码，分别校验静态密码与OTP。

  4. 校验通过后返回RADIUS Access-Accept，设备允许登录；校验失败返回Access-Reject，拒绝登录。

注：若设备支持Challenge型交互认证，可先输入静态密码，待收到RADIUS Access-Challenge提示后再输入OTP。RADIUS仅负责身份认证，管理员账号需在设备本地存在并授予相应权限；具体模式以项目实际配置为准。

认证说明

项目 行为
静态密码+OTP 由宁盾MFA服务器统一校验
RADIUS通道 设备需配置RADIUS服务器指向宁盾MFA（UDP 1812/1813），共享密钥与宁盾侧配置一致；建议超时时间设置30秒以上，避免OTP输入等待超时

网络设备（Web管理）

适用范围

交换机、路由器、防火墙等设备的Web管理控制台登录（HTTPS 443）。设备Web管理平台通过RADIUS协议（UDP 1812/1813）对接宁盾MFA服务器（部分设备亦支持LDAP/LDAPS方式，TCP 389/636），实现管理员Web登录的双因素认证。

认证流程

  1. 管理员打开设备Web管理登录页，输入用户名和密码（组合密码模式下输入“静态密码+OTP”组合密码）。

  2. 设备Web管理平台将认证请求通过RADIUS（UDP 1812/1813）转发至宁盾MFA服务器。

  3. 宁盾MFA服务器拆分并校验静态密码与OTP，返回认证结果。

  4. 认证通过后设备建立Web管理会话，管理员进入管理控制台；失败则拒绝登录。

注：不支持二次交互的设备Web登录需采用组合密码方式；支持二次挑战的设备可先输入静态密码，再在提示页输入OTP。若设备Web认证采用LDAP方式对接宁盾MFA，流程参见2.5 LDAP应用。

认证说明

项目 行为
静态密码+OTP 由宁盾MFA服务器统一校验
RADIUS通道 Web管理平台配置RADIUS服务器指向宁盾MFA（UDP 1812/1813），共享密钥与宁盾侧配置一致
LDAP通道（如采用） 将宁盾MFA服务器配置为LDAP认证服务，放通TCP 389/636，认证流程参见2.5

LDAP应用

适用范围

vCenter、OLVM及其他支持LDAP/LDAPS的第三方应用（TCP 389/636）。应用通常无需安装宁盾客户端，只需将宁盾MFA服务器配置为LDAP认证服务（LDAP服务、认证策略与用户源），即可实现MFA认证。

认证流程

  1. 用户访问应用Web登录页。

  2. 用户输入用户名以及静态密码与OTP组成的组合密码。

  3. 应用通过配置的LDAP连接参数（Base DN、连接账号、端口等）连接宁盾MFA服务器，执行Search Bind并搜索用户，获取用户完整DN。

  4. 应用使用用户DN和组合密码发起LDAP Bind。

  5. 宁盾MFA服务器完成静态密码与OTP校验并返回结果。

  6. 认证成功后应用建立会话。

输入特点

LDAP接入通常复用应用原有密码框，组合密码为“静态密码+动态密码”顺序拼接后一并输入。LDAP服务建议选择AD类型；具体拼接规则、Base DN、连接账号和端口以项目配置为准。

LDAP应用示例（vCenter）

Image

认证说明

场景 预期行为
通信通道 LDAP查询及Bind正常完成，应用需放通到宁盾MFA服务器的TCP 389/636（LDAPS 636）
静态密码+OTP 由宁盾MFA/LDAP服务器验证

Exchange邮箱双因素

适用范围

Exchange网页端【兼容任何web浏览器访问的OWA邮箱】、移动端【手机和平板通过常见协议访问电子邮件，例如QQ邮箱、Outlook邮箱、手机（苹果、安卓）自带邮箱等等】、桌面端【Outlook（2010以上版本Outlook for Windows）Foxmail等等】的登陆场景。

使用宁盾网关通过拦截指定域名和邮箱端口的访问流量，实现基于授权链接的双因素身份认证机制。

认证流程（OWA场景）

  1. 员工通过Web页面访问OWA，登陆输入用户名和静态密码。

  2. 宁盾认证系统对请求进行拦截，弹出二次认证窗口；。

  3. 员工根据提示输入OTP，登录通过Radius（UDP 1812/1813）向宁盾MFA服务器提交OTP。

  4. OTP成功后，会放行请求到Exchange服务器校验静态密码，通过则允许登录，失败则拒绝。

拦截说明

将Exchange的邮箱域名解析到宁盾的MFA网关后，所有认证流量都会先被MFA网关拦截。

认证说明（OWA场景）

项目 行为
静态密码 由Exchange认证机制验证
RADIUS通道 需放通UDP 1812/1813；共享密钥与AM设备配置一致；可配置多个RADIUS服务器实现热备（超时建议10–30秒，多服务器建议10秒以下）
OTP 由宁盾MFA服务器验证

认证流程（Exchange客户端场景）

  1. 员工在客户端（PC或移动端）输入账号密码登录后;

  2. 宁盾认证系统对请求进行拦截，会停留在登录页，等待授权；

  3. 宁盾认证系统读取拦截后的设备信息，将此信息通过发送审批链接的方式至员工（短信审批通道或H5通知消息审批通道进行通知），员工可点击链接进行对应操作；

  4. 员工确认授权信息内容后进行授权，授权成功后进行登录放行，若员工通过审批信息发现是非本人操作，则进行拒绝操作，同时，授权链接存在有效期，超时后链接不可生效。

Image

拦截说明

将Exchange的邮箱域名解析到宁盾的MFA网关后，所有认证流量都会先被MFA网关拦截。

认证说明（Exchange客户端场景）

项目 行为
静态密码 由Exchange认证机制验证
拦截授权机制 由宁盾MFA服务器下发授权链接给用户，用户点击授权确认；
需放通用户到宁盾MFA服务器的HTTP 7080/7443（建议HTTPS）
最近修改: 2026-10-22Powered by