двухфакторная аутентификация впн клиента

итересует реализация темы на циске. вариант с токеном не подходит. интересно узнать как заставить циску аутентифицировать клиента сначало по личному сертификату, потом по юзер/пароль на радиусе.