LDAP

LDAP steht für Lightweight Directory Access Protocol und ist ein Netzwerkprotokoll, um Verzeichnisdienste, die auf dem X.500-Standard basieren, zu modifizieren und Anfragen zu senden. Sophos UTM verwendet das LDAP-Protokoll, um Benutzer für einige seiner Dienste zu authentifizieren, indem mithilfe von Attributen oder Gruppenzugehörigkeiten auf dem LDAP-Server festgestellt wird, ob Zugriff auf einen bestimmten Dienst gewährt wird oder nicht.

Um LDAP-Authentifizierung zu konfigurieren, gehen Sie folgendermaßen vor:

1. Klicken Sie auf der Registerkarte Server auf Neuer Auth-Server.

   Das Dialogfeld Authentifizierungs-Server hinzufügen öffnet sich.

2. Nehmen Sie die folgenden Einstellungen vor:

   Backend: Wählen Sie LDAP als Backend-Verzeichnisdienst.

   Position: Wählen Sie eine Position für den Backend-Server. Backend-Server mit niedrigeren Nummern werden zuerst abgefragt. Stellen Sie für eine bessere Leistung sicher, dass der Backend-Server, der wahrscheinlich die meisten Anfragen erhält, ganz oben in der Liste steht.

   Server: Wählen Sie einen LDAP-Server (oder fügen Sie einen hinzu). Das Hinzufügen einer Definition wird auf der Seite Definitionen & Benutzer > Netzwerkdefinitionen > Netzwerkdefinitionen erläutert.

   SSL: Wählen Sie diese Option, um SSLSecure Sockets Layer-gesicherten Datentransfer zu aktivieren. Der Port ändert sich dann von 389 (LDAP) auf 636 (ldaps = LDAP over SSL).

   Port: Geben Sie den Port des LDAP-Servers ein. Standardmäßig ist das Port 389.

   Bind DN: Der Distinguished Name (DN) des Benutzers, mit dem dieser am Server angemeldet werden soll. Dieser Benutzer ist zwingend. Aus Sicherheitsgründen werden anonyme Anfragen an den LDAP-Server nicht unterstützt. Beachten Sie, dass der Benutzer genügend Privilegien besitzen muss, um alle relevanten Informationen zur Benutzerdefinition vom LDAP-Server erhalten zu können, damit er Benutzer authentifizieren kann. LDAP-Benutzer, -Gruppen und -Container können mit dem vollständigen Distinguished Name in LDAP-Notation und Kommas als Trennzeichen angegeben werden (z.B. CN=administrator,DC=intranet,DC=beispiel,DC=de).

   Kennwort: Geben Sie das Kennwort des Bind-Benutzers ein.

   Servereinstellungen testen: Durch einen Klick auf die Schaltfläche Test wird ein Bind-Test mit dem konfigurierten Server durchgeführt. Dadurch wird sichergestellt, dass die Einstellungen auf dieser Registerkarte richtig sind, dass der Server eingeschaltet ist und Verbindungen annimmt.

   Benutzerattribut: Wählen Sie das Benutzerattribut, das als Filter für die Suche im LDAP-Verzeichnis verwendet werden soll. Das Benutzerattribut enthält den eigentlichen Anmeldenamen, nach dem jeder Benutzer von z.B. Fernzugriffsdiensten gefragt wird. Folgende Benutzerattribute sind möglich:

   • CN (allgemeiner Name, engl. common name)
   • SN (Nachname)
   • UID (Benutzer-ID)

   Falls Benutzernamen in Ihrem LDAP-Verzeichnis nicht in Form dieser Attribute gespeichert werden, wählen Sie <<Angepasst>> aus der Liste aus und geben Sie Ihr benutzerdefiniertes Attribut im Feld Angepasst an. Beachten Sie, dass dieses Attribut in Ihrem LDAP-Verzeichnis konfiguriert sein muss.

   BaseDN: Der Startpunkt, relativ gesehen zur Wurzel (engl. root) des LDAP-Baums, in dem die Benutzer eingefügt sind, die authentifiziert werden sollen. Beachten Sie, dass der BaseDN über den vollen Distinguished Name (FDN) in LDAP-Notation spezifiziert werden muss, wobei Kommata als Trennzeichen verwendet werden müssen (z.B. O=Beispiel,OU=RnD). Der BaseDN kann leer sein. In diesem Fall wird der BaseDN automatisch aus dem Verzeichnis abgerufen.

   Benutzername: Geben Sie den Benutzernamen für den Testbenutzer an um die reguläre Authentifizierung durchzuführen.

   Kennwort: Geben Sie das Kennwort für den Testbenutzer an.

   Beispielbenutzer authentifizieren: Klicken Sie auf die Schaltfläche Test, um den Authentifizierungstest für den Testbenutzer zu starten. Dies stellt sicher, dass alle Servereinstellungen korrekt sind, dass der Server eingeschaltet ist und Verbindungen akzeptiert, und dass Benutzer erfolgreich authentifiziert werden können.

3. Klicken Sie auf Speichern.

   Der Server wird in der Liste Server angezeigt.

Verwandte Themen

• Netzwerkdefinitionen