MotionPro 双因素认证：短信验证码、OTP 令牌与 Push 推送

为什么需要双因素

在传统的"账号+密码"模式下，只要密码泄漏（撞库、钓鱼、键盘记录），攻击者就能冒充合法用户登录 VPN。双因素认证（Two-Factor Authentication, 2FA）在密码之外再增加一层——即使密码泄漏了，攻击者还需要拿到第二因素才能登录。

2FA 的两种基本类型：

MotionPro 的 2FA 全部围绕"你有的东西"——因为密码已经是"你知道的东西"了，第二因素必须是不同类型的。

最常见的 2FA 形式：

优点：不需要额外 App，手机是必备设备。缺点：短信可能延迟（运营商问题）、SIM 卡被盗则完全失效、部分组织网关没有开通短信通道。

基于 TOTP/HOTP 标准（Google Authenticator 协议）：

网关为用户生成一个密钥（通常通过二维码或手动输入）
用户在手机上安装 MotionPro OTP Global（Array 官方的 OTP 生成 App）或通用的 Google Authenticator/Authy
每次登录时，OTP App 自动生成一个 6 位数字，用户输入到 MotionPro 客户端

优点：离线可用（不需要手机信号）、比短信更安全。缺点：需要配置密钥过程。

Array Networks 有专门的 MotionPro OTP Global App（iOS 和 Android），搜索即可找到。也兼容通用的 Google Authenticator 类 App。

组织为每个用户发放物理硬件令牌（如 RSA SecurID、YubiKey）：

优点：最强安全性、与手机完全解耦。缺点：成本高、需要发放和管理实物。

AG 网关在密码认证通过后，向用户手机上的 MotionPro（或关联 App）推送一个认证请求：

优点：用户体验最好（不用手动输入）、能明确看到登录行为。缺点：需要 MotionPro App 能推送通知（iOS/Android 通知权限已开启）。

用户打开 MotionPro → 输入网关地址 → 输入密码 → [网关返回：密码正确，需要 2FA]
→ MotionPro 弹出短信验证码输入框 → 网关发送短信到注册手机 → 用户输入收到的验证码
→ [网关验证：验证码正确] → 建立 VPN 隧道

Array Networks 提供了专门的 OTP 生成 App——MotionPro OTP Global：

这个 App 是辅助工具，不是 VPN 客户端本身——即使你用 Google Authenticator 也完全可以。