【简介】中大型企业通常会建立域服务器用来管理帐号信息及访问权限,只有授权的员工才可以访问内部网络。当员工出差在外需要访问公司服务器时,可以通过安全的SSL VPN通道进行访问,如果验证身份时使用域服务器帐号信息,在减少操作步骤的同时,也提高了安全性。
域服务器配置
具体的配置请参考文章:Windows 2008 Server R2 域服务安装与配置。
防火墙访问域服务器
当建立好域服务器后,就需要配置防火墙,允许防火墙读取域帐户信息。
① 在防火墙左边菜单栏中选择【用户&设备】-【认证】-【LDAP】,新建LDAP服务;
② 用户名随意输入,服务器IP输入域服务器的IP地址,服务器端口默认是389,普通名称输入sAMaccountName,表示以帐号名加域名的方法登录。标识名称可以参考域结构;
③ 这是域结构,用来做标识名称的输入参考;绑定类型选择常规;
④ 用户DN输入用户名+@+域名称,输入密码,点击测试,如果连接成功,会有成功提示,如果连接不成功,也有红色的错误提示;
⑤ 防火墙与域服务器的的连接就建立成功了,下一步是读域帐户;
⑥ 在防火墙左边菜单栏中选择【用户&设备】-【用户】-【用户组】,新建用户组;
⑦ 输入组名,点击远程组的【Create New】;
⑧ 选择刚才建立的LDAP服务器;
⑨ 选择组织单元SSL-VPN-User下的Fortinet组,用户都在这个组下;
⑩ 新建的用户组,就与域服务器的Fortinet组建立了连接。
⑪ 用户组建立成功。
设置 SSL VPN
配置SSL VPN步骤具体参考文章:F-E1. VPN篇-SSL VPN (FortiClient 客户端) ❀ 飞塔 (Fortinet) 防火墙 (5.2)
文章介绍的是防火墙验证,这里要改成域服务器验证,需要修改几个地方:
① 在防火墙左边菜单栏【虚拟专网】-【SSL】-【Settings】设置中,认证/Portal映射里的用户组,需要改为新建的域用户组;
② 在设置SSL VPN用户允许访问内网的策略中,用户组改为域用户组,这样就从防火墙用户验证改为域用户认证了。
域服务器认证测试
设置完域服务器和防火墙SSL VPN后,我们就可以开始测试SSL VPN登录是否通过的是域服务器验证了。
① 用web访问模式,浏览器输入https://外网IP:10443,出现登录提示,输入域帐号与密码;
② 可以看到通过了域帐户的验证;
③ 在域服务器里再建立一个帐号,同样加入Fortinet组;
④ 再次输入新建立的域帐号和密码;
⑤ 仍然可以登录成功。这样以后只要在域服务器上管理好帐户,就可以控制SSL VPN通过防火墙登录了。
飞塔技术-老梅子 QQ:57389522