SSL 経由の LDAP を使用して PFsense アクティブ ディレクトリ認証を構成する方法を学習しますか? このチュートリアルでは、暗号化された接続の LDAPS プロトコルを使用して、アクティブ ディレクトリ データベース上の PFSense ユーザーを認証する方法を示します。
• Pfsense 2.4.4-p3
• Windows 2012 R2
PFsense 関連チュートリアル:
このページでは、pfSense に関連するチュートリアルのリストにすばやくアクセスできます。
チュートリアル - Windows でのアクティブ ディレクトリ のインストール
IP - 192.168.15.10。
• オペラシステム - Windows 2012 R2
• Hostname - TECH-DC01
• アクティブディレクトリドメイン: TECH.LOCAL
既に Active Directory ドメインを使用している場合は、チュートリアルのこの部分をスキップできます。
サーバー マネージャー アプリケーションを開きます。
[管理] メニューにアクセスし、[ロールと機能の追加] をクリックします。
[サーバーの役割] 画面にアクセスし、Active Directory ドメイン サービスを選択して [次へ] ボタンをクリックします。
次の画面で、[機能の追加] ボタンをクリックします。
最後の画面に到達するまで[次へ]ボタンをクリックし続けます。
確認画面で、[インストール]ボタンをクリックします。
Active ディレクトリのインストールが完了するまで待ちます。
サーバー マネージャー アプリケーションを開きます。
黄色のフラグ メニューをクリックし、このサーバーをドメイン コントローラに昇格させるオプションを選択します。
[新しいフォレストを追加する] オプションを選択し、ルート ドメイン名を入力します。
この例では、TECH という名前の新しいドメインを作成しました。地元の。
アクティブ ディレクトリの復元を保護するためのパスワードを入力してください。
[DNS オプション] 画面で、[次へ] ボタンをクリックします。
ドメインに割り当てられている Netbios 名を確認し、[次へ] ボタンをクリックします。
[次へ]ボタンをクリックします。
設定オプションを確認し、[次へ]ボタンをクリックします。
[前提条件の確認] 画面で、[インストール] ボタンをクリックします。
アクティブ ディレクトリ構成が完了するまで待ちます。
Active ディレクトリのインストールが完了すると、コンピュータは自動的に再起動します。
Windows サーバーでのアクティブ ディレクトリの構成が完了しました。
PFSense - SSL 通信を使用した LDAP のテスト
ドメイン コントローラがポート 636 で SSL 経由の LDAP サービスを提供しているかどうかをテストする必要があります。
ドメイン コントローラで、[スタート] メニューにアクセスし、LDP アプリケーションを検索します。
まず、ドメイン コントローラがポート 389 で LDAP サービスを提供しているかどうかをテストします。
[接続]メニューにアクセスし、[接続]オプションを選択します。
TCP ポート 389 を使用してローカルホストに接続してみます。
ローカルホスト ポート 389 で LDAP サービスに接続できるはずです。
ここで、ドメイン コントローラがポート 636 で SSL 経由の LDAP サービスを提供しているかどうかをテストする必要があります。
新しい LDP アプリケーション ウィンドウを開き、TCP ポート 636 を使用してローカル ホストに接続してみます。
[SSL] チェックボックスをオンにして、[OK] ボタンをクリックします。
システムでエラーメッセージが表示される場合、ドメインコントローラはまだLDAPSサービスを提供していません。
これを解決するために、このチュートリアルの次の部分に Windows 証明機関をインストールします。
SSL 暗号化を使用してポート 636 の localhost に正常に接続できた場合は、このチュートリアルの次の部分をスキップできます。
チュートリアル - Windows への証明機関のインストール
Windows 証明機関サービスをインストールする必要があります。
ローカル証明機関は、LDAPS サービスが TCP ポート 636 で動作することを許可する証明書をドメイン コントローラに提供します。
サーバー マネージャー アプリケーションを開きます。
[管理] メニューにアクセスし、[ロールと機能の追加] をクリックします。
[サーバーの役割] 画面にアクセスし、[Active Directory 証明書サービス] を選択して [次へ] ボタンをクリックします。
次の画面で、[機能の追加] ボタンをクリックします。
役割サービス画面が表示されるまで、[次へ] ボタンをクリックし続けます。
[証明機関] という名前のオプションを有効にし、[次へ] をクリックします。
確認画面で、[インストール]ボタンをクリックします。
証明機関のインストールが完了するまで待ちます。
サーバー マネージャー アプリケーションを開きます。
黄色のフラグ メニューをクリックし、オプションを選択します。
資格情報画面で、[次へ] ボタンをクリックします。
[証明機関] オプションを選択し、[次へ] ボタンをクリックします。
[エンタープライズ CA] オプションを選択し、[次へ] をクリックします。
[新しい秘密キーを作成する] オプションを選択し、[次へ] ボタンをクリックします。
デフォルトの暗号化構成を維持し、[次へ] ボタンをクリックします。
共通名を証明機関に設定し、[次へ] をクリックします。
この例では、共通名を設定します。
Windows 証明機関の有効期間を設定します。
既定の Windows 証明機関データベースの場所を保持します。
概要を確認し、[構成] ボタンをクリックします。
Windows サーバー証明機関のインストールが完了するまで待ちます。
証明機関のインストールが完了したら、コンピュータを再起動します。
Windows 証明機関のインストールが完了しました。
PFSense - SSL 通信を使用した LDAP の再テスト
ドメイン コントローラがポート 636 で SSL 経由の LDAP サービスを提供しているかどうかをテストする必要があります。
証明機関のインストールが完了したら、5 分間待ってから、ドメイン コントローラーを再起動します。
起動時に、ドメイン コントローラはローカル証明機関にサーバー証明書を自動的に要求します。
サーバー証明書を取得すると、ドメイン コントローラは 636 ポートで SSL 経由で LDAP サービスの提供を開始します。
ドメイン コントローラで、[スタート] メニューにアクセスし、LDP アプリケーションを検索します。
[接続]メニューにアクセスし、[接続]オプションを選択します。
TCP ポート 636 を使用してローカル ホストに接続してみます。
[SSL] チェックボックスをオンにして、[OK] ボタンをクリックします。
TCP ポート 636 を使用してローカル ホストに接続してみます。
[SSL] チェックボックスをオンにして、[OK] ボタンをクリックします。
今回は、ローカルホストポート636でLDAPサービスに接続できるはずです。
ポート 636 に接続できない場合は、コンピュータを再起動し、さらに 5 分間待ちます。
ドメイン コントローラが証明機関から要求された証明書を受け取るまでに、しばらく時間がかかる場合があります。
チュートリアル - Windows ドメイン コントローラ ファイアウォール
Windows ドメイン コントローラにファイアウォールルールを作成する必要があります。
このファイアウォールルールにより、Pfsense サーバーは Active ディレクトリ データベースに対してクエリを実行できます。
ドメイン コントローラで、セキュリティが強化された Windows ファイアウォールという名前のアプリケーションを開きます。
新しい受信ファイアウォール規則を作成します。
[ポート] オプションを選択します。
[TCP] オプションを選択します。
[特定のローカル ポート] オプションを選択します。
TCP ポート 636 を入力します。
[接続を許可する] オプションを選択します。
ドメイン オプションを確認します。
[プライベート] オプションをオンにします。
[パブリック] オプションをオンにします。
ファイアウォール規則の説明を入力します。
これで、必要なファイアウォールルールが作成されました。
このルールは、Pfsense がアクティブ ディレクトリ データベースに対してクエリを実行できるようにします。
チュートリアル - PFSense LDAPS 通信の準備
PFsense コンソール・メニューにアクセスし、オプション番号 8 を選択してコマンド行にアクセスします。
次のコマンドを使用して、LDAPS 通信をテストします。
ドメイン コントローラ証明書のコピーを取得しようとします。
上記の IP アドレスをドメイン コントローラーに変更する必要があります。
システムには、ドメイン コントローラ証明書のコピーが表示されます。
PFsense ファイアウォールは、DNS 名を使用してドメイン コントローラと通信できる必要があります。 (FQDN)
Pfsense は、ドメイン コントローラを DNS サーバーとして使用して、TECH-DC01 を変換できる場合があります。技術。IP アドレス 192.168.15.10 へのローカル。
PING コマンドを使用して、PFsense ファイアウォールがホスト名を IP アドレスに変換できるかどうかを確認します。
この例では、Pfsense ファイアウォールは TECH-DC01 を変換することができました。技術。192.168.15.10 へのローカル・ホスト名。
チュートリアル - Windows ドメイン アカウントの作成
次に、Active ディレクトリ データベースに少なくとも 2 つのアカウントを作成する必要があります。
ADMIN アカウントは、Pfsense Web インターフェイスでログインするために使用されます。
BIND アカウントは、アクティブ ディレクトリ データベースのクエリに使用されます。
ドメイン コントローラーで、次の名前のアプリケーションを開きます: Active Directory ユーザーとコンピューター
Users コンテナ内に新しいアカウントを作成します。
admin という名前の新しいアカウントを作成します。
ADMIN ユーザーに設定されたパスワード: 123qwe..
このアカウントは、Pfsense Web インターフェイスで管理者として認証するために使用されます。
次の名前の新しいアカウントを作成します。
BIND ユーザーに構成されたパスワード: 123qwe.。
このアカウントは、Active Directory データベースに保存されているパスワードのクエリに使用されます。
これで、必要なアクティブ ディレクトリ アカウントが作成されました。
チュートリアル - Windows ドメイン グループの作成
次に、Active ディレクトリ データベースに少なくとも 1 つのグループを作成する必要があります。
ドメイン コントローラーで、次の名前のアプリケーションを開きます: Active Directory ユーザーとコンピューター
Users コンテナ内に新しいグループを作成します。
pfsense-admin という名前の新しいグループを作成します。
このグループのメンバーは、PFsense Web インターフェイスの管理者権限を持ちます。
大事な！ pfsense-admin グループのメンバーとして、管理者ユーザーを追加します。
これで、必要なアクティブ ディレクトリ グループが作成されました。
PFSense - アクティブ ディレクトリでの PFSense LDAPS 認証
ブラウザソフトウェアを開き、PfsenseファイアウォールのIPアドレスを入力し、Webインターフェイスにアクセスします。
この例では、ブラウザに次の URL が入力されています。
• https://192.168.15.11
Pfsense Web インターフェイスを表示する必要があります。
プロンプト画面で、Pfsense デフォルトパスワードのログイン情報を入力します。
• Username: admin
• パスワード: pfsense
ログインが成功すると、Pfsense ダッシュボードに送信されます。
Pfsense システムメニューにアクセスし、ユーザーマネージャーオプションを選択します。
[ユーザー マネージャ] 画面で、[認証サーバー] タブにアクセスし、[追加] ボタンをクリックします。
[サーバー設定] 領域で、次の構成を行います。
• 説明名: アクティブ ディレクトリ
• タイプ: LDAP
[LDAP サーバ設定] 領域で、次の構成を実行します。
• ホスト名または IP アドレス - TECH-DC01。技術。地元の
• ポート値 - 636
• トランスポート - SSL - 暗号化
• プロトコルバージョン - 3
• サーバ タイムアウト - 25
• 検索範囲 - サブツリー全体
• ベース DN - dc=技術、dc=ローカル
• 認証コンテナ - CN =ユーザー、DC=技術、DC=ローカル
• 拡張クエリ - 無効
• バインド匿名 - 無効
• 資格情報をバインドする - CN =バインド、CN=ユーザー、DC=技術、DC=ローカル
• 資格情報のバインド パスワード - BIND ユーザー アカウントのパスワード
• 初期テンプレート - マイクロソフト AD
• ユーザー名前属性 - サムアカウント名
• グループ命名属性 - cn
• グループ メンバー属性 - メンバーの
RFC 2307 グループ - 無効
• グループ オブジェクト クラス - posixGroup
• UTF8 エンコード - 無効
• ユーザー名の変更 - 無効
TECH-DC01 を変更する必要があります。技術。ローカルからドメイン コントローラのホスト名を指定します。
ネットワーク環境を反映するようにドメイン情報を変更する必要があります。
ネットワーク環境を反映するようにバインド資格情報を変更する必要があります。
[保存] ボタンをクリックして、構成を完了します。
この例では、PFSense firewal で Ldap サーバー認証を構成しました。
PFSense - アクティブ ディレクトリ認証のテスト
Pfsense 診断メニューにアクセスし、認証オプションを選択します。
アクティブ ディレクトリ認証サーバーを選択します。
管理者のユーザー名、そのパスワードを入力し、テストボタンをクリックします。
テストが成功すると、次のメッセージが表示されます。
おめでとう！ アクティブ ディレクトリでの PFsense LDAPS サーバー認証が正しく構成されました。
PFSense - アクティブ ディレクトリ グループのアクセス許可
Pfsense システムメニューにアクセスし、ユーザーマネージャーオプションを選択します。
[ユーザーマネージャ]画面で、[グループ]タブにアクセスし、[追加]ボタンをクリックします。
[グループの作成] 画面で、次の構成を実行します。
• グループ名 - pfsense-admin
• スコープ - リモート
• 説明 - アクティブ ディレクトリ グループ
保存ボタンをクリックすると、グループ構成画面に戻ります。
pfsense-admin グループの権限を編集する必要があります。
pfsense-admin グループのプロパティで、[割り当てられた権限]領域を見つけて、[追加]ボタンをクリックします。
[グループ特権] 領域で、次の構成を実行します。
• 割り当てられた特権 - WebCfg - すべてのページ
[保存] ボタンをクリックして、構成を完了します。
PFSense - アクティブ ディレクトリ認証を有効にする
Pfsense システムメニューにアクセスし、ユーザーマネージャーオプションを選択します。
[ユーザー マネージャ] 画面で、[設定] タブにアクセスします。
[設定] 画面で、Active ディレクトリ認証サーバーを選択します。
[保存してテスト] ボタンをクリックします。
設定が完了したら、Pfsense Web インターフェイスからログオフする必要があります。
管理者ユーザーと、Active Directory データベースのパスワードを使用してログインを試みます。
ログイン画面で、管理者ユーザーと Active Directory データベースのパスワードを使用します。
• Username: admin
• パスワード: アクティブディレクトリパスワードを入力します。
おめでとう！ アクティブ ディレクトリ データベースを使用するように PFSense 認証を構成しました。
