Настройка 2FA в TrueNAS Scale 2026: пошаговое руководство с Authelia и резервными кодами

Зачем нужна двухфакторная аутентификация в TrueNAS Scale и выбор решения

Панель управления TrueNAS Scale - это ключ к вашим данным и сервисам. Защита только паролем создает риск компрометации всей системы. Двухфакторная аутентификация добавляет обязательный второй шаг проверки, обычно через временный код из мобильного приложения, что резко снижает вероятность успешного взлома даже при утечке пароля.

В экосистеме TrueNAS Scale для внедрения 2FA доступны несколько подходов: использование официальных приложений через интерфейс Apps, установка сторонних плагинов или развертывание отдельного сервиса авторизации, работающего как промежуточное ПО. Для этого руководства мы выбрали Authelia. Этот выбор основан на его самодостаточности, открытом исходном коде и надежной интеграции через механизм reverse proxy, который хорошо соответствует архитектуре TrueNAS.

Authelia как стандарт де-факто для самодостаточных систем

Authelia - это автономный сервис аутентификации и авторизации. Его главное преимущество в контексте TrueNAS - независимость от внешних коммерческих сервисов. Он работает как middleware: запросы к веб-интерфейсу TrueNAS сначала проверяются Authelia, который требует пароль и код 2FA, и только после успешной проверки передаются в сам NAS.

Архитектура Authelia идеально сочетается с контейнерной моделью TrueNAS Scale. Сервис хранит данные пользователей и настроек в своей собственной базе данных (для простоты мы используем YAML файл), поддерживает стандарт TOTP для генерации одноразовых кодов и предоставляет чистый веб-интерфейс для управления. Практический опыт показывает его стабильность и минимальное влияние на производительность основной системы.

Подготовка среды TrueNAS Scale 2026 для установки Authelia

Прежде чем начать установку, убедитесь в готовности вашей системы. Проверьте, что вы используете TrueNAS Scale версии 2026 или более поздней. Убедитесь в наличии свободных ресурсов: для работы контейнера Authelia требуется около 100 MB памяти и минимальная нагрузка на CPU.

Ключевой шаг подготовки - определение сетевого конфигурации. Authelia будет работать на отдельном порту внутри вашего NAS. Выберите свободный порт, например, 9091, и убедитесь, что он не конфликтует с другими службами. В TrueNAS Scale управление контейнерами может осуществляться через графический интерфейс Apps или напрямую через командную строку с использованием Docker Compose. Для этого руководства мы используем второй метод, который дает полный контроль над конфигурацией.

Работа с контейнерами в экосистеме TrueNAS: от Docker Compose до Apps

TrueNAS Scale построена на базе Kubernetes (k3s), но для запуска отдельных контейнеров вы можете использовать стандартный Docker через командную строку. Это требует выполнения команд с правами root или через sudo. Организация файлов критична. Создайте отдельную директорию для проекта Authelia, например, /mnt/pool/appdata/authelia. В ней будут храниться файлы docker-compose.yml и configuration.yml.

Аналогично примеру из контекста развертывания сервиса на VPS, вам необходимо убедиться, что выбранный порт для Authelia доступен внутри сети NAS. В TrueNAS это обычно не требует дополнительных действий на фаерволле, если служба работает внутри локальной сети системы. Однако если вы планируете доступ из внешней сети, потребуется настройка правил в разделе Network интерфейса TrueNAS.

Пошаговая установка и базовая конфигурация Authelia

Процесс состоит из четырех четких шагов: подготовка файлов, развертывание контейнера, первичная настройка и проверка работоспособности.

Шаг 1: Создание файлов конфигурации. В подготовленной директории создайте два файла: docker-compose.yml и configuration.yml.

Шаг 2: Развертывание через Docker Compose. Используйте команду для запуска сервиса в контексте TrueNAS.

Шаг 3: Первичная настройка. Определите секрет JWT и базовые параметры в файле конфигурации.

Шаг 4: Проверка работоспособности. Убедитесь, что контейнер запущен и его веб-интерфейс доступен.

Настройка конфигурационного файла Authelia: ключевые параметры

Файл configuration.yml определяет поведение сервиса. Рассмотрим ключевые секции:

jwt_secret: Случайная строка для шифрования токенов. Генерируйте ее командой openssl rand -base64 32.
default_redirection_url: Установите URL вашей панели управления TrueNAS, например, https://your-nas.local.
log_level: Для диагностики установите debug, для production - info.
authentication_backend: Определяет источник данных пользователей. Для простоты используем файл YAML: file: path: /config/users.yml.

Для интеграции с TrueNAS критически важно указать корректный базовый URL системы в секции default_redirection_url, чтобы после успешной аутентификации пользователь возвращался именно к интерфейсу NAS.

Развертывание через Docker Compose: файл и команды

Пример файла docker-compose.yml для Authelia:

version: '3.8'
services:
  authelia:
    image: authelia/authelia:latest
    container_name: authelia
    volumes:
      - ./configuration.yml:/config/configuration.yml
      - ./users.yml:/config/users.yml
    ports:
      - "9091:9091"
    restart: unless-stopped
    environment:
      - TZ=Europe/Moscow

Для запуска в TrueNAS Scale выполните команду в директории с файлом:

sudo docker-compose up -d

Для мониторинга состояния и логов используйте:

sudo docker-compose logs -f authelia

Интеграция Authelia с TrueNAS WebUI как middleware

Интеграция происходит через настройку reverse proxy в TrueNAS Scale. Вам необходимо настроить веб-сервер (Nginx) вашего NAS так, чтобы запросы к пути /ui/ (панель управления) сначала проходили проверку в Authelia.

Это реализуется добавлением специальных директив в конфигурацию Nginx TrueNAS, которые используют модуль auth_request. Запрос аутентификации направляется на порт Authelia (9091). Если Authelia возвращает успешный статус, запрос передается в основной интерфейс TrueNAS. Если проверка не пройдена, пользователь видит страницу входа Authelia.

После настройки попытка открыть веб-интерфейс TrueNAS сначала приведет вас на страницу Authelia, где потребуется ввести имя пользователя, пароль и код двухфакторной аутентификации. Убедитесь, что эта настройка не влияет на доступ к другим службам NAS, например, SMB или NFS shares, которые обычно используют другие пути или порты.

Настройка правил доступа (access_control) в Authelia для TrueNAS

В файле configuration.yml Authelia определите правила доступа для защиты панели управления. Пример конфигурации:

access_control:
  default_policy: deny
  rules:
    - domain: "your-nas.local"
      policy: two_factor
      resources:
        - "^/ui/.*"

Это правило применяет политику two_factor (обязательная двухфакторная аутентификация) для всех ресурсов, начинающихся с /ui/ на вашем домене NAS. Для API или других внутренних служб можно создать отдельные правила с политикой bypass (пропуск аутентификации) или one_factor (только пароль), чтобы избежать блокировки управления системой. Для WebUI рекомендуется строгая политика two_factor.

Настройка двухфакторной аутентификации и подключение приложений-токенов

После успешной интеграции необходимо настроить двухфакторную аутентификацию для пользователей. В интерфейсе Authelia (доступен по адресу https://your-nas.local:9091) зарегистрируйте первого пользователя, указав его имя и пароль.

После регистрации для пользователя будет доступна возможность настроить второй фактор. Authelia предложит выбрать метод: TOTP (Time-based One-Time Password). При выборе этого метода система сгенерирует уникальный секретный ключ и представит его в виде QR-кода.

Чтобы подключить приложение-токен, например, Google Authenticator или Authy, откройте это приложение на своем мобильном устройстве, выберите «Добавить учетную запись» и сканируйте QR-код, представленный в интерфейсе Authelia. Приложение сохранит ключ и начнет генерировать шестизначные коды, меняющиеся каждые 30 секунд.

Тестирование выполняется попыткой войти в TrueNAS WebUI. После ввода имени пользователя и пароля вас перенаправит на страницу Authelia для ввода второго фактора. Введите текущий шестизначный код из вашего мобильного приложения. После успешного ввода вы получите доступ к панели управления TrueNAS.

Создание и безопасное хранение резервных кодов восстановления

Резервные коды - это одноразовые пароли, которые используются для входа в случае, если основной метод 2FA недоступен (например, потеря или поломка телефона). В интерфейсе Authelia, после настройки TOTP, вы можете сгенерировать набор таких кодов, обычно 10-20 штук.

Критически важно хранить эти коды безопасно. Не сохраняйте их в цифровом виде на том же NAS или в незашифрованном файле. Запишите их на физический носитель, например, в записную книжку, и храните в защищенном месте, таком как сейф или замкнутый drawer. Каждый код используется один раз. После использования его необходимо отметить как использованный.

Процесс использования резервного кода прост: на шаге ввода второго фактора в Authelia выберите опцию «Use a recovery code» и введите один из сохраненных кодов. После успешного входа рекомендуется немедленно пересмотреть метод 2FA и, если необходимо, сгенерировать новый набор резервных кодов. Периодическое обновление этих кодов - хорошая практика безопасности.

Типичные проблемы, диагностика и отказоустойчивость

В процессе внедрения могут возникнуть проблемы. Их своевременная диагностика предотвращает блокировку доступа к системе.

Проблема 1: Authelia не запускается. Первым шагом проверьте логи контейнера: sudo docker-compose logs authelia. Частая причина - ошибка синтаксиса в YAML файлах. Убедитесь, что отступы корректны и все обязательные поля заполнены.

Проблема 2: TrueNAS WebUI недоступен после интеграции. Проверьте конфигурацию reverse proxy в TrueNAS. Убедитесь, что правило auth_request корректно направляет запросы на порт Authelia. Для диагностики временно измените политику в Authelia на bypass для пути /ui/ и проверьте, восстановится ли доступ. Это поможет изолировать проблему в настройке аутентификации или в сетевой маршрутизации.

Проблема 3: Приложение-токен не генерирует правильные коды. Проверьте синхронизацию времени на сервере TrueNAS и на вашем мобильном устройстве. TOTP зависит от точного времени. Также убедитесь, что при сканировании QR-кода ключ был сохранен корректно. Попробуйте удалить учетную запись из приложения и зарегистрировать ее повторно.

Диагностика конфликтов служб и сетевых проблем

Для проверки состояния службы Authelia используйте команду sudo docker-compose ps. Она покажет статус контейнера (Up/Exited). Если контейнер не запущен, проверьте, не занят порт 9091 другой службой с помощью sudo netstat -tulpn | grep 9091.

Проверьте сетевые правила внутри TrueNAS: убедитесь, что никакие другие приложения или службы не используют тот же порт. Если проблема сложная, временно добавьте правило bypass в конфигурацию Authelia для всего домена. Это позволит получить доступ к WebUI и проверить остальные сетевые настройки без блокировки.

Стратегия отказоустойчивости включает регулярное тестирование резервных кодов (попробуйте войти с использованием одного кода каждые несколько месяцев), мониторинг состояния контейнера Authelia через простой скрипт или систему мониторинга и четкий план действий для временного отключения 2FA в случае критических проблем с NAS (например, через консоль или временное изменение правил доступа).

Дальнейшие шаги и заключение

После выполнения этого руководства ваш TrueNAS Scale защищен двухфакторной аутентификацией. Панель управления теперь требует не только пароль, но и временный код из вашего мобильного устройства, что значительно повышает безопасность.

Для дальнейшего усиления защиты рассмотрите регулярное обновление контейнера Authelia до новых версий, аудит его логов для обнаружения попыток несанкторизованного доступа и расширение защиты на другие веб-сервисы, работающие на вашем NAS. Инструкция актуальна для TrueNAS Scale версии 2026 и основана на проверенных практиках.

При обновлении основной системы или Authelia всегда проверяйте официальную документацию на соответствие версий. Выполнение этих шагов превращает ваш NAS из просто системы хранения в защищенный центр управления данными.