Autenticação LDAP através de um Firewall

Question

Eu tenho uma Rails Gem que faz autenticação do Active Directory e sua suíte de testes tem muitas verificações de autenticação. Quando eu executo a suíte de testes em nossa LAN, tudo funciona sem problemas (como seria de se esperar), mas estamos pensando em transferir um de nossos aplicativos para um servidor em nuvem, o que significa que ele estará acessando o DC de fora da rede. / p>

Eu peguei uma cópia da LDAP Gem em um servidor de nuvem com o qual podemos testar e configuramos uma porta em nosso firewall e, em seguida, executamos os testes depois de colocar as configurações e elas falharam, mas de uma maneira diferente se você errar sua senha.

Estou obtendo um login bem-sucedido nos logs de segurança do controlador de domínio, mas por qualquer razão que ele não retorne os dados ao cliente.

Eu tenho a porta XXXX encaminhada para a porta 389 no CD, preciso de outros encaminhamentos?

    

Answer 1

O

LDAP usa o TCP 389 para comunicação não segura e 636 para comunicação segura.

A client starts an LDAP session by connecting to an LDAP server, called a Directory System Agent (DSA), by default on TCP port 389.

e

A common alternate method of securing LDAP communication is using an SSL tunnel. This is denoted in LDAP URLs by using the URL scheme "ldaps". The default port for LDAP over SSL is 636.

Em termos de firewall, você precisará permitir o acesso a essas portas da interface "Externa" do firewall para a interface "Confiável". Se você estiver usando um NAT, talvez seja necessário adicionar a regra ao IP público e ao IP da LAN.

Você não precisa encaminhar nenhuma porta, mas precisará permitir a comunicação da seguinte forma:

permit tcp any x.x.x.x 0.0.0.0 389
permit tcp any x.x.x.x 0.0.0.0 636

Onde você permite qualquer IP de origem em qualquer porta de origem que tenha sido desimpedida para seu servidor em uma porta específica.

Você também deve permitir conexões estabelecidas, em dispositivos Cisco, parece que permit any established permitirá a resposta do servidor para fora do firewall. A maioria dos firewalls normalmente faz essa coisa estabelecida por padrão (na minha experiência), então se você tiver um firewall dedicado, isso não deve ser um problema.