UTM/AUTH/AD Anbindung: Unterschied zwischen den Versionen

Version vom 2. November 2023, 13:55 Uhr

Anbindung einer UTM an ein AD/LDAP

Letzte Anpassung zur Version: 12.5.0

Neu:

Neuer Verzeichnistyp: Azure AD
WireGuard Attribute unter Erweiterte Einstellungen (v12.4)

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.4 11.8.10 11.8 11.7 11.5

Einführung

Voraussetzung

Um ein AD / LDAP zur Authentisierung nutzen zu können, müssen dort Benutzer angelegt und in Gruppen organisiert sein.

Sicherheitsgruppe hinzufügen

Sicherheitsgruppe hinzugefügt

Die Berechtigungen zu den in der UTM enthaltenen Diensten können in Gruppen verwaltet werden. Die Benutzer, die diesen Gruppen zugeordnet werden sollen, müssen zunächst entsprechenden Benutzergruppen im AD zugeordnet werden.

In diesem Beispiel sollen die Benutzer für Clientless VPN über den Active Directory Service Authentifiziert werden.

Es muss also zunächst eine Gruppe vom Typ Sicherheitsgruppe auf dem AD hinzugefügt werden, die hier den Namen ClientlessVPN bekommt.

Benutzer im AD hinzufügen

Benutzer ist Mitglied der Gruppe

Anschließend werden die Benutzer, die für Clientless VPN freigeschaltet werden sollen, zu dieser Gruppe hinzugefügt.

Schritt 1: Verzeichnistyp
Beschriftung	Wert	Beschreibung	Schritt 1
Verzeichnistyp:	AD - Active Directory
Weiter

Schritt 2: Einstellungen
	»192.168.145.1		Schritt 2
Domain:	ttt-point.local	Domainname
Arbeitsgruppe	ttt-point
Appliance Account:	sp-utml
Weiter

Schritt 3: Nameserver			Schritt 3: Nameserver
Ist der AD-Server noch nicht als Name-Server eingetragen, wird das in diesem Schritt vorgenommen: + Server hinzufügen
\|\| 192.168.145.1 \|\|
Speichern
Weiter

Schritt 4: Beitreten
Administratorname	Administrator
Passwort	••••••••



Ergebnis im Abschnitt Status :
Aktiviert:	Ein	Die AD/LDAP Authentifizierung ist aktiviert.
Verbindungsstatus:	⬤	Zur Bestätigung wechselt die Anzeige von grau auf grün. Aktualisieren mit

Erweiterte Einstellungen Erweitert
SSL:	Aus	Die Verbindung zum Active Directory Server kann SSL-Verschlüsselt hergestellt werden.	Erweiterte Einstellungen
SSL:	Hinweis zur LDAP-Verschlüsselung: bestehende und neue Verbindungen werden separat verschlüsselt und signiert (seal) bei Aktivierung von SSL wird keine zusätzliche Verschlüsselung angewendet.
Root-Zertifikat:	Zertifikat	Es kann ein Root-Zertifikat hinterlegt werden.
LDAP-Filter:	(\|(sAMAccountType=268435456)(sAMAccountType=268435457)(sAMAccountType=805306368))	sAMAccountType=Schränkt die Authentisierung auf Mitglieder der folgenden Gruppen ein: Weitere Filter sind möglich 268435456 (→ Gruppen, SAM_ALIAS_OBJECT 0x20000000) 268435457 (→ Nicht Sicherheits-Gruppen, SAM_NON_SECURITY_ALIAS_OBJECT 0x20000001) 805306368 (→ Benutzer Konten, SAM_USER_OBJECT 0x30000000)
\|\| sAMAccountName \|\| Es können Attribute definiert werden, unter denen die AD Verwaltung die Informationen zum Benutzer speichert und die dann von der UTM abgefragt werden können:
\|\| »proxyAddresses \|\|
Die Attribute von OTP bis Cert-Attribute, die hier eingetragen sind, existieren in der Regel nicht im AD. Um zum Beispiel den OTP-Geheimcode auf dem AD zu hinterlegen, kann ein ungenutztes Attribut des AD Schemas verwendet werden, der diesen Geheimcode des Benutzers enthält. Eine entsprechende Anleitung befindet sich im Artikel Einbinden der OTP Funktion in das Active Directory. Einen Wireguard Peer auf der UTM anlegen Eine Usergruppe auf dem AD anlegen, wodurch die Benutzer WireGuard nutzen können Die benötigten Wireguard Attribute in ein AD Attribut der Benutzer eintragen (zum Beispiel die extensionAttribute#) Die UTM mit dem AD verbinden und die eingestellten AD Attribute konfigurieren Auf der UTM eine Benutzergruppe anlegen, die mit der AD-Usergruppe verbunden ist und die Wireguard Berechtigung hat Die entsprechenden Verknüpfungen werden automatisch beim nächsten AD-Sync hinzugefügt Wird ein neues Attribute den Usern hinzugefügt, werden diese auch beim nächsten Sync übernommen			Reiter Attribut-Editor der Benutzereigenschaften im AD mit Beispielwerten für WireGuard Namen der verwendeten Attribute aus dem AD
OTP-Attribute:	sPOTPSecret
L2TP-Attribute:	sPL2TPAddress
WireGuard-Attribute (IPv4):	sPWireguardIP4Address	Das AD Attribut der IPv4-Adresse der WireGuard-Verbindung Die IPv4-Adresse kann in ein beliebiges AD Attribut des Benutzers hinterlegt werden. Wird die IPv4-Adresse in extensionAttribute1 hinterlegt, wird extensionAttribute1 hier eingetragen. ❶
WireGuard-Attribute (IPv6):	sPWireguardIP6Address	Das AD Attribut der IPv6-Adresse der WireGuard-Verbindung Die IPv6-Adresse kann in ein beliebiges AD Attribut des Benutzers hinterlegt werden. Wird die IPv6-Adresse in extensionAttribute2 hinterlegt, wird extensionAttribute2 hier eingetragen. ❷
WireGuard-Public-Key-Attribute:	sPWireguardPubkeyVal	Das AD Attribut des Public Key der WireGuard-Verbindung Der Public Key kann in ein beliebiges AD Attribut des Benutzers hinterlegt werden. Wird der Public Key in extensionAttribute3 hinterlegt, wird extensionAttribute3 hier eingetragen. ❸
SSL-VPN-Attribute (IPv4):	sPOVPNAddress
SSL-VPN-Attribute (IPv6):	sPOVPNIP6Address
SSL-Bump-Attribute:	sPSSLBumpMode
Cert-Attribute:	sPCertificate
Page Size:	500	In größeren Umgebungen kann es vorkommen, dass bei LDAP-Anfragen die serverseitig festgelegte, maximale Anzahl von Datensätzen (im AD sind es 1000) überschritten wird. Mit Page Size kann eingestellt werden das die LDAP-Abfrage stückweise ausgeführt wird. Eine Page Size von 500 bedeutet 500 Datensätze pro Abfrage. Die Page Size von 0 deaktiviert eine schrittweise LDAP-Abfrage.

Hinweis
Dieser Artikel beinhaltet Beschreibungen der Software von Drittanbietern und basiert auf dem Stand zum Zeitpunkt der Erstellung dieser Seite.
Änderungen an der Benutzeroberfläche durch den Hersteller sind jederzeit möglich und müssen in der Durchführung entsprechend berücksichtigt werden.
Alle Angaben ohne Gewähr.

Um die AD-Authentifizierung mit Entra ID nutzen zu können, sind folgende Angaben erforderlich:

Anwendungs ID
Mandanten-ID
Geheimer Clientschlüssel

In dieser Anleitung wird exemplarisch gezeigt, welche Vorbereitungen und Einstellung in Microsoft Azure erforderlich sind.

Azure Active Directory admin center starten
Mandanten-ID im Menü Entra ID notieren/kopieren
Neue App registrieren unter Menü App-Registrierung Schaltfläche Neue Registrierung
Eindeutigen Namen vergeben und Schaltfläche Registrieren klicken
Anwendungs-ID notieren, alternativ kann hier die Verzeichnis-ID (Mandanten-ID) gefunden werden
Im Menü API-Berechtigungen die Schaltfläche Berechtigung hinzufügen klicken
Berechtigung Group.Read.All im Reiter Anwendungsberechtigung wählen
Berechtigung User.Read.All im Reiter Anwendungsberechtigung wählen
Im Menü API-Berechtigungen den Eintrag Administratorzustimmung für [...] erteilen aktivieren
Im Menü Zertifikate & Geheimnisse ein Geheimen Clientschlüssel erstellen
Wert notieren, wird als Geheimer Wert eingetragen
Damit ist die Konfiguration im Microsoft Azure abgeschlossen.

notempty

Die Microsoft Server brauchen ggf. bis zu 30 Minuten, bevor der Zugang funktioniert

Abb.1

Anmelden unter Portal Azure oder Microsoft Entra
In Microsoft Entra sind einige Menupunkte als Untermenupunkte eingerichtet.
Menü Azure Active Directory wählen
Mandanten-ID notieren, wird beim hinzufügen einer AD-Authentifizierung in der UTM benötigt

Abb.2

Neue App registrieren:

Menü App-Registrierung
Schaltfläche Neue Registrierung

Abb.3

Eindeutigen Namen vergeben
Schaltfläche Registrieren klicken

Abb.4

Es wird eine Zusammenfassung der soeben registrierten App angezeigt

Hier sind auch die Verzeichnis-ID (Mandanten-ID) und Anwendungs-ID (Client-ID) zu finden
Die hier angezeigte Object ID gehört nicht zur App und wird nicht benötigt!
Menu API-Berechtigungen wählen

Abb.5

Schaltfläche Berechtigung hinzufügen klicken

Abb.6

Microsoft Graph und dann den Reiter Anwendungsberechtigung wählen
Berechtigung für Group.Read.All wählen

Abb.7

Microsoft Graph und dann den Reiter Anwendungsberechtigung wählen
Berechtigung für User.Read.All wählen

Azure MC Granted Admin consent UTM-AD.png

Abb.8

Erneut Menü API-Berechtigungen auswählen
Eintrag Administratorzustimmung für [...] erteilen auswählen
Schaltfläche Ja anklicken

Abb.9

Menü Zertifikate & Geheimnisse
Reiter Geheime Clientschlüssel
Eintrag neuer geheimer Clientschlüssel
Eindeutige Beschreibung eingeben
gewünschte Laufzeit wählen (max. 24 Monate)
Schaltfläche Hinzufügen anklicken

Abb.10

Wert notieren, wird als Geheimer Wert eingetragen



Schritt 1: Verzeichnistyp
Beschriftung	Wert	Beschreibung
Verzeichnistyp:		Entra ID als Verzeichnistyp auswählen
Weiter

Schritt 2: Einstellungen
Verzeichnis-ID (Mandanten-ID):	••••••••••••••••••••	Verzeichnis-ID (Mandanten-ID) aus der App-Registrierung in Entra ID
Verzeichnis-ID (Mandanten-ID):		Der eingetragene Wert wird angezeigt
Anwendungs-ID (Client-ID):	••••••••••••••••••••	Anwendungs-ID (Client-ID) aus der App-Registrierung in Entra ID
Anwendungs-ID (Client-ID):		Der eingetragene Wert wird angezeigt
Geheimer Wert	••••••••••••••••••••	Wert des geheimen Clientschlüssels aus dem Abschnitt Zertifikate & Geheimnisse der Entra ID
Geheimer Wert		Der eingetragene Wert wird angezeigt




Aktiviert:	Ja	Die Entra ID Authentifizierung ist aktiviert
Verbindungsstatus:		Zur Bestätigung wechselt die Anzeige von grau auf grün.
Verbindungsstatus:		Über diese Schaltfläche wird der Verbindungsstatus aktualisiert
Verzeichnistyp:	Azure AD	Der eingestellte Verzeichnistyp

Einstellungen
Verzeichnis-ID (Mandanten-ID):	••••••••••••••••••••	Verzeichnis-ID (Mandanten-ID) aus der App-Registrierung in Entra ID
Verzeichnis-ID (Mandanten-ID):		Der eingetragene Wert wird angezeigt
Anwendungs-ID (Client-ID):	••••••••••••••••••••	Anwendungs-ID (Client-ID) aus der App-Registrierung in Entra ID
Anwendungs-ID (Client-ID):		Der eingetragene Wert wird angezeigt
Geheimer Wert	••••••••••••••••••••	Wert des geheimen Clientschlüssels aus dem Abschnitt Zertifikate & Geheimnisse der Entra ID
Geheimer Wert		Der eingetragene Wert wird angezeigt

Gruppen Berechtigungen

Um den Benutzern aus dem Active Directory die Berechtigungen für den Zugriff auf das User-Interface der UTM und der Nutzung des Clientless VPN zu erteilen, wird im Menü Bereich

Gruppen

Schaltfläche Gruppe hinzufügen eine Gruppe mit eben diesen Berechtigungen angelegt.

Aktiv	Berechtigung	Hinweis
Ein	Userinterface
Ein	Clientless VPN	Gewünschte Berechtigung

Benutzergruppe aus AD auswählen

Im Bereich

Verzeichnis Dienst

kann jetzt die entsprechende Gruppe aus dem Active Directory ausgewählt und zugeordnet werden.
Weitere Informationen über Clientless VPN Berechtigungen befindet sich in dem Wiki zu Clientless VPN.

Ergebnis

Beitreten und Verlassen der Domäne

Um zu überprüfen ob die UTM schon der Domäne beigetreten ist:

cli> system activedirectory testjoin
Join is OK
cli>

Sollte das nicht der Fall sein, erfolgt die Ausgabe

cli> system activedirectory testjoin
Not joined
cli>

In diesem Fall kann der Domäne mit dem folgenden Kommando beigetreten werden

cli> system activedirectory join password Beispiel-Admin-Passwort
Password for Administrator@TTT-POINT.LOCAL: 
Processing principals to add...
Enter Administrator's password:
Using short domain name -- TTT-POINT
Joined 'SP-UTML' to dns domain 'ttt-point.local'
cli>

Das Kommando um die Domäne zu verlassen lautet

cli> system activedirectory leave password Beispiel-Admin-Passwort
Enter Administrator's password:
Deleted account for 'SP-UTML' in realm 'TTT-POINT.LOCAL'
cli>

Beim Beitreten bzw. Verlassen des Active Directories ist die Angabe des Administratorpasswortes notwendig. Das Passwort wird nicht gespeichert, die AD-Zugehörigkeit ist trotzdem Reboot fest.

cli> system activedirectory lsgroups
member
------
Abgelehnte RODC-Kennwortreplikationsgruppe
Administratoren
Benutzer
Builtin
ClientlessVPN
Discovery Management
Domänen-Admins
Domänen-Benutzer
Domänen-Gäste
Exchange Servers
...
Users 
Windows-Autorisierungszugriffsgruppe
cli>

Überprüfen der Benutzer und Gruppenzugehörigkeit

Das folgende Kommando überprüft, ob ein AD-Benutzer einer UTM Gruppe zugeordnet ist:

cli> user check name "m.meier" groups grp_ClientlessVPN
matched
cli>

Sollte das nicht der Fall sein erfolgt die Ausgabe

not a member
cli>

Befehl, um zu einem AD-Benutzer die Gruppenzugehörigkeit und Berechtigungen aus zugegeben:

cli> user get name m.meier
name   |groups           |permission
-------+-----------------+----------
m.meier|grp_ClientlessVPN|WEB_USER,VPN_CLIENTLESS
cli>

Domain-Controller hinter Site-to-Site-VPN

In manchen Szenarien befindet sich der Domain-Controller hinter einem Site-to-Site-VPN-Tunnel.
Ist dies der Fall, muss eine entsprechende Zone und eine Regel konfiguriert werden.
Siehe auch DNS-Relay bei IPSec-S2S ‖ DNS-Relay bei SSL (OpenVPN) -S2S ‖ DNS-Relay bei WireGuard-S2S

notempty

Achtung: Für einen Beitritt in ein Active-Directory, das sich hinter einem VPN-Tunnel befindet, werden in der NAT-Regel Richtung Domain-Controller neben den DNS-Ports die LDAP-Ports benötigt.

@@ Zeile 11: / Zeile 11: @@
 	  | WireGuard attributes under [[#Extended_settings | Extended settings]] }}
-</div> {{Select_lang}} {{TOC2}}
+</div> {{Select_lang}} {{TOC2|limit=2}}
 {{Header|12.5.0|
 * {{#var:neu--Azure AD}}

Version vom 2. November 2023, 13:55 Uhr

Einführung

Voraussetzung

Benutzer im AD hinzufügen

Schritt 1: Verzeichnistyp

Schritt 2: Einstellungen

Schritt 3: Nameserver

Schritt 4: Beitreten

Erweiterte Einstellungen

Schritt 1: Verzeichnistyp

Schritt 2: Einstellungen

Ergebnis

Beitreten und Verlassen der Domäne

Überprüfen der Benutzer und Gruppenzugehörigkeit

Domain-Controller hinter Site-to-Site-VPN