OPNsense Active Directory MemberOf: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(9 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
 +
=seclab-win2022=
 +
*Das gibt unser Domain Controller
 +
;In der Virtualbox
 +
*Import der Maschine
 +
*Name: win2022
 +
*Netzwerk:Internes Netzwerk: SERVER
 +
;In der Maschine
 +
*user: Administrator
 +
*pass: 123Start$
 +
 +
 
=Vorab=
 
=Vorab=
 
Wir brauchen das Stammzertifikat der Domain
 
Wir brauchen das Stammzertifikat der Domain
Zeile 4: Zeile 15:
 
Das muss auf der Opnsense importiert werden
 
Das muss auf der Opnsense importiert werden
  
−
Der Name win2022.sec-labs.de muss von er Opnsens auflösbar sein.
+
Der Name win2022.sec-labs.de muss von er Opnsense auflösbar sein.
  
 
'''Warnung: Beim kopieren entstehen Leerzeichen - Hier ist die OPNSense zickig'''
 
'''Warnung: Beim kopieren entstehen Leerzeichen - Hier ist die OPNSense zickig'''
Zeile 13: Zeile 24:
 
  CN=ldapuser,OU=Service,DC=sec-labs,DC=de
 
  CN=ldapuser,OU=Service,DC=sec-labs,DC=de
 
;Test von der Opnsense Konsole
 
;Test von der Opnsense Konsole
−
  ldapsearch -x  -H ldaps://win2022.sec-labs.de    -D "ldapuser@sec-labs.de"  -w '123Start$'  -b "DC=sec-labs,DC=de"  "(sAMAccountName=hans)"  sAMAccountName memberO
+
  ldapsearch -x  -H ldaps://win2022.sec-labs.de    -D "ldapuser@sec-labs.de"  -w '123Start$'  -b "DC=sec-labs,DC=de"  "(sAMAccountName=hans)"  sAMAccountName memberOf
  
 
==Gruppe==
 
==Gruppe==
Zeile 25: Zeile 36:
 
! Benutzer !! Domain !! Gruppe !! Passwort
 
! Benutzer !! Domain !! Gruppe !! Passwort
 
|-
 
|-
−
| lili  || sec-labs.de || opnsense || 123Start$
+
| lili  || sec-labs.de || opnsense || 8er-Bahn
 
|-
 
|-
 
| xinux  || sec-labs.de || opnsense || 123Start$
 
| xinux  || sec-labs.de || opnsense || 123Start$
 
|-
 
|-
−
| hans  || sec-labs.de || opnsense || 123Start$
+
| hans  || sec-labs.de || opnsense || Ick.werd.zun.Schwi
 
|}
 
|}
  
Zeile 63: Zeile 74:
 
|-
 
|-
 
| Extended Query || memberOf=CN=opnsense,OU=Groups,DC=sec-labs,DC=de
 
| Extended Query || memberOf=CN=opnsense,OU=Groups,DC=sec-labs,DC=de
 +
|-
 +
| Initial Template || Microsoft AD
 
|-
 
|-
 
| User naming attribute || sAMAccountName
 
| User naming attribute || sAMAccountName
Zeile 78: Zeile 91:
 
| Match case insensitive || ☐
 
| Match case insensitive || ☐
 
|}
 
|}
 +
 +
=Tester=
 +
*System
 +
**Access
 +
***Tester
 +
****Authentication Server: win2022
 +
****Username: xinux
 +
****Password: 123Start$
  
 
=Quelle für die Authentification auswählen=
 
=Quelle für die Authentification auswählen=
Zeile 123: Zeile 144:
 
| Privileges || All pages, Diagnostics: ARP Table, Diagnostics: Auth
 
| Privileges || All pages, Diagnostics: ARP Table, Diagnostics: Auth
 
|-
 
|-
−
| Members || lili
+
| Members ||  
 
|}
 
|}
  
Zeile 165: Zeile 186:
  
 
=Anmerkung=
 
=Anmerkung=
 +
'''DAS Problem hat sich erledigt'''
 
*Ich hatte das Problem das ich als Remote Admin keine Änderungen vornehmen kann.
 
*Ich hatte das Problem das ich als Remote Admin keine Änderungen vornehmen kann.
 
*Es scheint ein Sicherheitsmechanismus zu sein.
 
*Es scheint ein Sicherheitsmechanismus zu sein.
 
*Diesen kann man deaktivieren in dem man folgende Zeile entfernt
 
*Diesen kann man deaktivieren in dem man folgende Zeile entfernt
 +
*cd /conf
 +
*cp config.xml config.xml.org
 
*vi /conf/config.xml
 
*vi /conf/config.xml
 
  <user-config-readonly/>
 
  <user-config-readonly/>
 
;Link
 
;Link
 
*https://github.com/opnsense/core/issues/3132
 
*https://github.com/opnsense/core/issues/3132

Aktuelle Version vom 27. Mai 2026, 12:21 Uhr

seclab-win2022

  • Das gibt unser Domain Controller
In der Virtualbox
  • Import der Maschine
  • Name: win2022
  • Netzwerk:Internes Netzwerk: SERVER
In der Maschine
  • user: Administrator
  • pass: 123Start$


Vorab

Wir brauchen das Stammzertifikat der Domain

  • \\win2022\Export

Das muss auf der Opnsense importiert werden

Der Name win2022.sec-labs.de muss von er Opnsense auflösbar sein.

Warnung: Beim kopieren entstehen Leerzeichen - Hier ist die OPNSense zickig

Adminuser in der AD mit automatischer Synchronistion

Ldapuser

Er wird zum Binden an den DC gebraucht
CN=ldapuser,OU=Service,DC=sec-labs,DC=de
Test von der Opnsense Konsole
ldapsearch -x   -H ldaps://win2022.sec-labs.de    -D "ldapuser@sec-labs.de"   -w '123Start$'   -b "DC=sec-labs,DC=de"   "(sAMAccountName=hans)"   sAMAccountName memberOf

Gruppe

Gruppe wo die Admins drin sein sollen
CN=opnsense,OU=Groups,DC=sec-labs,DC=de

Hinzufügen wenn sie nicht drin sind

User in der Admingruppe

Gruppe: opnsense

Benutzer Domain Gruppe Passwort
lili sec-labs.de opnsense 8er-Bahn
xinux sec-labs.de opnsense 123Start$
hans sec-labs.de opnsense Ick.werd.zun.Schwi

Einbinden der AD

  • Sytem
    • Access
      • Server
        • Add
Feld Wert
Descriptive name win2022
Type LDAP
Hostname or IP address win2022.sec-labs.de
Port value 636
Transport TLS
Protocol version 3
Bind credentials CN=ldapuser,OU=Service,DC=sec-labs,DC=de
Password 123Start$
Search scope Entire Subtree
Base DN DC=sec-labs,DC=de
Authentication containers CN=Users,DC=sec-labs,DC=de
Extended Query memberOf=CN=opnsense,OU=Groups,DC=sec-labs,DC=de
Initial Template Microsoft AD
User naming attribute sAMAccountName
Read properties ☑
Synchronize groups ☑
Constraint groups ☐
Limit groups Nothing selected
Automatic user creation ☑
Match case insensitive ☐

Tester

  • System
    • Access
      • Tester
        • Authentication Server: win2022
        • Username: xinux
        • Password: 123Start$

Quelle für die Authentification auswählen

  • System
    • Settings
      • Administration
        • Authentication
Feld Wert
Server win2022, Local Database
Disable integrated authentication ☐
Sudo No password
Sudo group wheel
User OTP seed Nothing selected
Deployment type Production

Gruppe mit dem gleichen Namen anlegen

  • System
    • Access
      • Groups
opnsense

Danach Privilegien vergeben

  • System
    • Access
      • Groups
        • Assigned Privileges (Select All)
Feld Wert
Defined By user
gid 2000
Group name opnsense
Description
Privileges All pages, Diagnostics: ARP Table, Diagnostics: Auth
Members

Wieder zu den Servers

  • System
    • Access
      • Servers
          • LDAP Server wählen
            • Und Gruppe Mappen
Feld Wert
Read properties ☑
Synchronize groups ☑
Default groups opnsense
Constraint groups ☐
Limit groups Nothing selected
Automatic user creation ☑
Match case insensitive ☐

User Synchronisieren

Muss man wohl nicht mehr

Einfach einlogen

Login

Feld Wert
Language Default
Login shell /bin/csh

Anmerkung

DAS Problem hat sich erledigt

  • Ich hatte das Problem das ich als Remote Admin keine Änderungen vornehmen kann.
  • Es scheint ein Sicherheitsmechanismus zu sein.
  • Diesen kann man deaktivieren in dem man folgende Zeile entfernt
  • cd /conf
  • cp config.xml config.xml.org
  • vi /conf/config.xml
<user-config-readonly/>
Link
Abgerufen von „https://wiki.ixheim.de/index.php?title=OPNsense_Active_Directory_MemberOf&oldid=70390“