​​【认证篇 / 远程】(5.2) ❀ 01. 域服务器验证 ❀ FortiGate 防火墙

　　【简介】中大型企业通常会建立域服务器用来管理帐号信息及访问权限，只有授权的员工才可以访问内部网络。当员工出差在外需要访问公司服务器时，可以通过安全的SSL VPN通道进行访问，如果验证身份时使用域服务器帐号信息，在减少操作步骤的同时，也提高了安全性。

---

  域服务器配置

        具体的配置请参考文章：Windows 2008 Server R2 域服务安装与配置。

  防火墙访问域服务器

　　当建立好域服务器后，就需要配置防火墙，允许防火墙读取域帐户信息。

　　① 在防火墙左边菜单栏中选择【用户＆设备】-【认证】-【LDAP】，新建LDAP服务；

　　② 用户名随意输入，服务器IP输入域服务器的IP地址，服务器端口默认是389，普通名称输入sAMaccountName，表示以帐号名加域名的方法登录。标识名称可以参考域结构；

　　③ 这是域结构，用来做标识名称的输入参考；绑定类型选择常规；

　　④ 用户DN输入用户名+@+域名称，输入密码，点击测试，如果连接成功，会有成功提示，如果连接不成功，也有红色的错误提示；

　　⑤ 防火墙与域服务器的的连接就建立成功了，下一步是读域帐户；

　　⑥ 在防火墙左边菜单栏中选择【用户＆设备】-【用户】-【用户组】，新建用户组；

　　⑦ 输入组名，点击远程组的【Create New】；

　　⑧ 选择刚才建立的LDAP服务器；

　　⑨ 选择组织单元SSL-VPN-User下的Fortinet组，用户都在这个组下；

　　⑩ 新建的用户组，就与域服务器的Fortinet组建立了连接。

　　⑪ 用户组建立成功。

  设置 SSL VPN

        配置SSL VPN步骤具体参考文章：F-E1. VPN篇－SSL VPN (FortiClient 客户端) ❀ 飞塔 (Fortinet) 防火墙 (5.2)

　　文章介绍的是防火墙验证，这里要改成域服务器验证，需要修改几个地方：

　　① 在防火墙左边菜单栏【虚拟专网】-【SSL】-【Settings】设置中，认证/Portal映射里的用户组，需要改为新建的域用户组；

　　② 在设置SSL VPN用户允许访问内网的策略中，用户组改为域用户组，这样就从防火墙用户验证改为域用户认证了。

  域服务器认证测试

　　设置完域服务器和防火墙SSL VPN后，我们就可以开始测试SSL VPN登录是否通过的是域服务器验证了。

　　① 用web访问模式，浏览器输入https://外网IP:10443，出现登录提示，输入域帐号与密码；

　　② 可以看到通过了域帐户的验证；

　　③ 在域服务器里再建立一个帐号，同样加入Fortinet组；

　　④ 再次输入新建立的域帐号和密码；

　　⑤ 仍然可以登录成功。这样以后只要在域服务器上管理好帐户，就可以控制SSL VPN通过防火墙登录了。

飞塔技术-老梅子   QQ：57389522

---