En este documento se explica cómo configurar un Fortigate para usar LDAP contra un servicio de directorio, en este caso contra un Active Directory de Microsoft Windows 2003. Más info de lo que es LDAP – AKI.

Lo primero es conectarnos al FW, e ir a “User” > “LDAP” y crear una nueva conexión usando LDAP, para ello pulsamos en “Create New”,

Debemos rellenar los datos para LDAP Server:
“Name”: El nombre de está conexión de LDAP Server
“Server Name/IP”: La IP del servidor al que realizaremos las consultas LDAP
“Server Port”: Es el puerto de LDAP para conectarnos a dicho servidor.
“Common Name Identifier”: Por defecto “cn” que significa que los usuarios pondrán para autenticarse su “Nombre Completo”, si lo dejamos vacío los usuarios tendrán que autenticarse poniendo su “Nombre para mostrar” o “us*****@do*****.eso”
“Distinguished Name”: Será la ruta hasta el contenedor de usuarios en el directorio activo. Tendremos en cuenta si es una Unidad Organizativa para poner “OU” o si es un contenedor normal para indicar “CN”. Debería ser una ruta como la siguiente: “OU=UnidadOrganizativa,DC=dominio,DC=dominio”. Veremos más abajo el caso concreto en mi Directorio Activo, cómo será la config que tengo.
Y si nos interesa, podríamos asegurar la conectividad entre el FW y el controlador de dominio/domain controller. Pulsamos en “OK”.

Vemos que es correcto.

Ahora lo que deberíamos hacer es crear un grupo de usuarios indicando al grupo de usuarios anteriores. Para ello, nos vamos a “User” > “User Group” > “Create New”.

Indicamos un nombre al grupo de usuarios en “Name”, por ejemplo “UsuariosVPN”. Y agregamos a la parte derecha a “Members” el grupo que acabamos de crear en “Users on RADIUS/LDAP servers”, damos a “OK”.

Y comprobamos que el grupo ya está creado ahí. Ahora lo que quedaría sería agregarlo a lo que nos interese, a una política del Firewall para acceso de VPN por IPSec, SSL… o para lo que nos interese.

Este sería mi directorio activo, con esta UO llamada: UsuariosVPN y con esos usuarios dentro de ella, sería los usuarios que tengan acceso a conectarse a tonde aplique lo que acabamos de realizar.

www.bujarra.com – Héctor Herrero – nh*****@bu*****.com – v 1.0