Serie Zyxel USG FLEX H — Configurazione del DN di base per la ricerca e del DN di base per il binding per l'autenticazione Active Directory

Quando un firewall Zyxel utilizza Active Directory (AD) per l'autenticazione degli utenti, il firewall deve connettersi al server AD e individuare correttamente gli account utente.

Per questa connessione vengono utilizzate due impostazioni importanti:

• DN di base della ricerca — definisce dove il firewall cerca gli account utente.
• Bind DN Base — definisce dove si trova l'account di autenticazione in Active Directory.

Questo articolo spiega come funzionano queste impostazioni e mostra due esempi di configurazione comuni:

1. L'account utente per l'autenticazione Active Directory si trova nell'unità organizzativa (OU) predefinita "Utenti".
2. L'account utente per l'autenticazione Active Directory non si trova nell'unità organizzativa (OU) predefinita "Utenti". In questo caso, è necessario configurare l'impostazione opzionale Base DN di associazione in Impostazioni avanzate.

Scenario 1 — Utente situato nell'unità organizzativa (OU) predefinita "Utenti"

Se l'account utente per l'autenticazione Active Directory si trova nell'unità organizzativa (OU) predefinita "Utenti", non è necessario configurare il parametro opzionale Bind DN Base.

In questo esempio, l'account di binding zyxel_test è memorizzato nel contenitore predefinito "Utenti" in Active Directory.

Esempio:

CN=zyxel_test,OU=IT,DC=example,DC=local

Sul server Active Directory:

1. Aprire:
   • Utenti e computer di Active Directory
2. Individuare l'account di servizio LDAP
3. Aprire:
   • Proprietà → Editor attributi
4. Trova l'attributo:
   • distinguishedName

Configurare il server AAA sul firewall

Dopo aver verificato l'account di servizio LDAP sul server Active Directory, configurare il profilo del server AAA sul firewall.

1. Vai a:

   Utente e autenticazione > Autenticazione utente > Server AAA

2. Fare clic su Aggiungi per creare un nuovo profilo del server AAA.
3. Configurare le seguenti impostazioni:

4. Fare clic su Impostazioni avanzate.
5. Lasciare vuoto il campo Bind DN Base poiché l'account si trova nel contenitore Utenti predefinito.
6. Nella sezione Convalida configurazione:
   • Inserisci un account utente di dominio
   • Fare clic su Prova

Se la configurazione è corretta, il firewall visualizzerà:

Stato del test: OK

La sezione Attributi utente restituiti mostrerà le informazioni utente LDAP recuperate dal server Active Directory.

Scenario 2 — Utente non presente nell'unità organizzativa (OU) predefinita "Utenti"

Se l'account utente per l'autenticazione Active Directory non si trova nell'unità organizzativa (OU) predefinita "Utenti", è necessario configurare il parametro opzionale Base DN di binding.

In questo esempio, l'account di bind zyxel_test è memorizzato all'interno dell'unità organizzativa (OU) IT in Active Directory.

Esempio:

CN=zyxel_test,OU=IT,DC=example,DC=local

Sul server Active Directory

1. Aprire:

   Utenti e computer di Active Directory

2. Individuare l'account di servizio LDAP.

3. Aprire:

   Proprietà → Editor attributi

4. Trova l'attributo:

   distinguishedName

5. Verificare che il DN contenga il percorso OU richiesto.

Configurare il server AAA sul firewall

Dopo aver verificato il nome distinto (DN) sul server Active Directory, configurare il profilo del server AAA sul firewall.

1. Vai a:

   Utente e autenticazione > Autenticazione utente > Server AAA

2. Fare clic su Aggiungi per creare un nuovo profilo del server AAA.
3. Configurare le seguenti impostazioni:

Poiché l'account di servizio LDAP si trova al di fuori del contenitore Utenti predefinito, il firewall non è in grado di determinare automaticamente il percorso di ricerca LDAP corretto.

Durante la convalida della configurazione, il firewall potrebbe restituire il seguente errore:

Stato del test: sintassi DN non valida

In questo caso, è necessario configurare manualmente il parametro Base DN di binding con il percorso corretto dell'unità organizzativa (OU).