LDAP Integration. Menüpunkt: System > Time To Do: Die Uhzeit/Zeitzone der SonicWALL mit dem AD-Server abgleichen

Transkript

1 LDAP Integration Firewall Betriebessystem: alle Versionen Erstellungsdatum: Letzte Änderung: Benötigte Konfigurationszeit: ca. 10 Minuten Vorraussetzungen: per LDAP abfragbarer Server (in der Regel Active Directory) Dieses HowTo beschreibt eine Integration der SonicWALL Firewall in eine bestehende Active Directory. Die vorhandenen Benutzer/Benutzergruppen können anschließend für VPN/SSLVPN und Contentfilter verwendet werden. Step 1: Menüpunkt: System > Time To Do: Die Uhzeit/Zeitzone der SonicWALL mit dem AD-Server abgleichen Diese Einstellung ist sehr wichtig. Wenn die Firewall-Uhrzeit nur wenige Minuten von der Uhrzeit des AD-Servers abweicht, schlägt die Benutzer-Authentifizierung fehl. An dieser Stelle zu empfehlen ist ein NTP Server. Sowohl in der Firewall als auch auf ihrem AD-Controller. Screenshot: Step 2: Menüpunkt: User > Settings To Do: Ändern der Authentication Method von Local Users auf LDAP + Local Users TIPP: Verwenden Sie immer LDAP + Local User. Dies bietet die Möglichkeit, AD Gruppen in die Lokale Firewall Datenbank zu importieren. Die Verwendung in Firewall-Regeln und Co. wird dadurch erleichtert. Screenshot:

2 Step 3: Menüpunkt: User > Authentication Method > Configure To Do: Verbindung zum LDAP-Server aufbauen In diesem Menü werden alle LDAP-Server relevanten Einstellungen getätigt. Folgende Relevante Einstellungen müssen vorgenommen werden: Settings: Name or IP Address: IP Adresse des LDAP-Servers (AD-Server) Bsp.: Port Number: LDAP Kommunikationsport. Ohne TLS (Verschlüsselung) 389, mit TLS 636 Login User Name: Administrativer Benutzer, der mindestens lesende Berechtigungen hat. Bsp.: Administrator Login Password: Passwort des angegebenen AD-Benutzers Protocol Version: Default LDAP Version für die AD ist LDAP Version 3 Use TLS (SSL): Diese Funktion ist per Default deaktiviert. Falls Sie einen verschlüsselten Datenaustausch zwischen Firewall und LDAP-Server bevorzugen, kann die TLS (SSL) aktiviert werden. Vorraussetzung diesbezüglich ist ein vorhandenes lokales (importiertes) Host-Zertifikat der Firewall.

3 Schema: In diesem Menü stellen Sie die Zuordnung zwischen den auf dem LDAP-Server befindlichen Attributen und der damit verbundenen SonicWALL Verknüpfung her. In den meisten Fällen reicht der Click auf Read from Server. Bitte tragen Sie zuvor unter dem Directory Tab Ihren Domain-Namen ein. Bsp.: lab.sonicnoll.de TIPP: Read from Server ist ebenfalls eine gute Möglichkeit, um die eingegebenen Server-Authentifizierungs Einstellungen unter Settings zu testen.

4 Directory: In dem Directory Tab wird die interne Domain eingetragen. Der klick aus Auto Configure liest in der Regel alle relevanten Einstellungen aus der AD aus. Falls sie User-Trees benötigen, die in dieser Form nicht automatisiert erkannt werden, können per Add jeder Zeit manuell User-Trees hinzugefügt werden. In den meisten Fällen ist die Firewall in der Lage, alle Benutzer,- und Gruppen Trees aus zu lesen. TIPP: Nur Benutzer, die sich in den oben angegeben AD-Trees befinden, können sich später auch an der SonicWALL anmelden. Der Tab Test, eignet sich sehr gut um die Tree-Einstellung zu überprüfen. Es besteht die Möglichkeit eine Test-Abfrage zu simulieren. Optimaler Weise verwenden Sie einen Test-Benutzer, der sich in dem gewünschten Tree befindet.

5 Test: Wenn alle zuvor gesetzten Einstellungen korrekt sind, sollte die oben zu sehende Benutzerabfrage mit dem entsprechenden Test-User ein Positives Ergebnis bringen. TIPP: Dieses Feature eignet sich bestens, um die Gruppenzugehörigkeit der Benutzer zu überprüfen. Dies eignet sich hervorragend zum Troubleshooten von VPN/SSL-VPN und Contentfiltering Zugriffsproblemen.

6 Step 4: Menüpunkt: Users > Local Groups > Import from LDAP To Do: Importieren der relevanten Benutzergruppen Unter diesem Menüpunkt können alle gewünschten Benutzergruppen importiert werden. Menüpunkt: Klick auf Import from LDAP Die hier Selektierten Benutzergruppen werden nach dem klick auf Save in die Lokale Gruppen-Datenbank der Firewall importiert und können verwendet werden.

7 TIPP: Per Default befinden sich alle aus der AD kommenten Beutzer in einer Übergruppe ALL LDAP USERS. Wenn in einer Konfiguration also der Bezug auf alle AD-User benötigt wird, kann ALL LDAP USER verwendet werden. Falls Sie einen angepassten Gruppennamen für alle aus der AD kommenden Benutzer verwenden möchten, kann dies unter: User > Settings > Tab (LDAP USERS) in eine Benutzerdefinierte Gruppe gemappt werden: T r o u b l e s h o o t i n g / T i p p s u n d T r i c k s Case Sensitiv User Names: Unter: User > Settings kann eine Checkbox bei Case-sensitive user names gesetzt werden. Wenn Sie diesen Eintrag entfernen, spielt die Groß/Kleinschreibung bei der Benutzereingabe keine Rolle mehr. Enforce Login Uniquness: Unter: User > Settings kann eine Checkbox bei Enforce login uniquness gesetzt werden. Wenn Sie diese Einstellung aktivieren, kann sich der Benutzer nicht mehrfach an der Firewall anmelden. Durch diese Einstellung verhindern Sie, dass ein Benutzername weitergegeben wird um div. Sicherheitsmechanismen zu umgehen.