Uso de autenticación de un Fortigate contra Directorio Activo usando LDAP

En este documento se explica cómo configurar un Fortigate para usar LDAP contra un servicio de directorio, en este caso contra un Active Directory de Microsoft Windows 2003. Más info de lo que es LDAP – AKI.

Fortigate LDAP

Lo primero es conectarnos al FW, e ir a “User” > “LDAP” y crear una nueva conexión usando LDAP, para ello pulsamos en “Create New”,

Fortigate LDAP

Debemos rellenar los datos para LDAP Server:
“Name”: El nombre de está conexión de LDAP Server
“Server Name/IP”: La IP del servidor al que realizaremos las consultas LDAP
“Server Port”: Es el puerto de LDAP para conectarnos a dicho servidor.
“Common Name Identifier”: Por defecto “cn” que significa que los usuarios pondrán para autenticarse su “Nombre Completo”, si lo dejamos vacío los usuarios tendrán que autenticarse poniendo su “Nombre para mostrar” o “usuario@dominio.eso”
“Distinguished Name”: Será la ruta hasta el contenedor de usuarios en el directorio activo. Tendremos en cuenta si es una Unidad Organizativa para poner “OU” o si es un contenedor normal para indicar “CN”. Debería ser una ruta como la siguiente: “OU=UnidadOrganizativa,DC=dominio,DC=dominio”. Veremos más abajo el caso concreto en mi Directorio Activo, cómo será la config que tengo.
Y si nos interesa, podríamos asegurar la conectividad entre el FW y el controlador de dominio/domain controller. Pulsamos en “OK”.

Fortigate LDAP

Vemos que es correcto.

Fortigate LDAP

Ahora lo que deberíamos hacer es crear un grupo de usuarios indicando al grupo de usuarios anteriores. Para ello, nos vamos a “User” > “User Group” > “Create New”.

Fortigate LDAP

Indicamos un nombre al grupo de usuarios en “Name”, por ejemplo “UsuariosVPN”. Y agregamos a la parte derecha a “Members” el grupo que acabamos de crear en “Users on RADIUS/LDAP servers”, damos a “OK”.

Fortigate LDAP

Y comprobamos que el grupo ya está creado ahí. Ahora lo que quedaría sería agregarlo a lo que nos interese, a una política del Firewall para acceso de VPN por IPSec, SSL… o para lo que nos interese.

Fortigate LDAP

Este sería mi directorio activo, con esta UO llamada: UsuariosVPN y con esos usuarios dentro de ella, sería los usuarios que tengan acceso a conectarse a tonde aplique lo que acabamos de realizar.

www.bujarra.com – Héctor Herrero – nheobug@bujarra.com – v 1.0


Héctor Herrero

Autor del blog Bujarra.com
Cualquier necesidad que tengas, no dudes en contactar conmigo, os intentare ayudar siempre que pueda, compartir es vivir 😉 . Disfrutar de los documentos!!!