Zyxel USG FLEX H-serie — De basis-DN voor zoeken en de basis-DN voor koppelen configureren voor Active Directory-verificatie

Wanneer een Zyxel-firewall Active Directory (AD) gebruikt voor gebruikersauthenticatie, moet de firewall verbinding maken met de AD-server en de gebruikersaccounts correct vinden.

Voor deze verbinding worden twee belangrijke instellingen gebruikt:

• Search Base DN — bepaalt waar de firewall naar gebruikersaccounts zoekt.
• Bind DN Base — bepaalt waar het authenticatieaccount zich in Active Directory bevindt.

In dit artikel wordt uitgelegd hoe deze instellingen werken en worden twee veelvoorkomende configuratievoorbeelden getoond:

1. Het gebruikersaccount voor Active Directory-authenticatie bevindt zich in de standaard OU 'Users'.
2. Het gebruikersaccount voor Active Directory-authenticatie bevindt zich niet in de standaard OU 'Users'. In dit geval moet u de optionele instelling Bind DN Base configureren in Geavanceerde instellingen.

Scenario 1 — Gebruiker bevindt zich in de standaard OU 'Gebruikers'

Als het gebruikersaccount voor Active Directory-authenticatie zich in de standaard OU 'Users' bevindt, hoeft u de optionele parameter Bind DN Base niet te configureren.

In dit voorbeeld is het bind-account zyxel_test opgeslagen in de standaardcontainer 'Users' in Active Directory.

Voorbeeld:

CN=zyxel_test,OU=IT,DC=example,DC=local

Op de Active Directory-server:

1. Open:
   • Active Directory-gebruikers en -computers
2. Zoek het LDAP-serviceaccount
3. Open:
   • Eigenschappen → Attribuut-editor
4. Zoek het attribuut:
   • distinguishedName

Configureer de AAA-server op de firewall

Nadat u het LDAP-serviceaccount op de Active Directory-server hebt geverifieerd, configureert u het AAA-serverprofiel op de firewall.

1. Ga naar:

   Gebruiker & authenticatie > Gebruikersauthenticatie > AAA-server

2. Klik op Toevoegen om een nieuw AAA-serverprofiel aan te maken.
3. Configureer de volgende instellingen:

4. Klik op Geavanceerde instellingen.
5. Laat het veld Bind DN Base leeg, omdat het account zich in de standaardcontainer Users bevindt.
6. In het gedeelte Configuratievalidatie:
   • Voer een domeingebruikersaccount in
   • Klik op Testen

Als de configuratie correct is, geeft de firewall het volgende weer:

Teststatus: OK

In het gedeelte Geretourneerde gebruikersattributen wordt de LDAP-gebruikersinformatie weergegeven die is opgehaald van de Active Directory-server.

Scenario 2 — Gebruiker niet gevonden in de standaard OU 'Users'

Als het gebruikersaccount voor Active Directory-authenticatie zich niet in de standaard OU 'Gebruikers' bevindt, moet u de optionele parameter Bind DN-basis configureren.

In dit voorbeeld is het bind-account zyxel_test opgeslagen in de IT-organisatie -eenheid (OU) in Active Directory.

Voorbeeld:

CN=zyxel_test,OU=IT,DC=example,DC=local

Op de Active Directory-server

1. Open:

   Active Directory-gebruikers en -computers

2. Zoek het LDAP-serviceaccount.

3. Open:

   Eigenschappen → Attribuut-editor

4. Zoek het attribuut:

   distinguishedName

5. Controleer of de DN het vereiste OU-pad bevat.

Configureer de AAA-server op de firewall

Nadat u de Distinguished Name (DN) op de Active Directory-server hebt gecontroleerd, configureert u het AAA-serverprofiel op de firewall.

1. Ga naar:

   Gebruiker & authenticatie > Gebruikersauthenticatie > AAA-server

2. Klik op Toevoegen om een nieuw AAA-serverprofiel aan te maken.
3. Configureer de volgende instellingen:

Omdat het LDAP-serviceaccount zich buiten de standaardgebruikerscontainer bevindt, kan de firewall het juiste LDAP-zoekpad niet automatisch bepalen.

Tijdens de configuratievalidatie kan de firewall de volgende foutmelding geven:

Teststatus: Ongeldige DN-syntaxis

In dit geval moet u de parameter Bind DN Base handmatig configureren met het juiste pad naar de organisatie-eenheid (OU).