Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 8 replies
  • Subscribers 1 subscriber
  • Views 5465 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

L2TP over IPsec VPN mit AD Login

wiseguy
Hallo,

bei einer UTM9 (Version 9.004-33) sollen sich die User über VPN (L2TP over IPsec) anmelden können. Die User sind im AD hinterlegt. Einen RADIUS Server gab es bisher nicht.

Offensichtlich wird der aber zwingend benötigt, oder man muss einen extra lokalen Login auf der Astaro haben. Zwei Logins sind blöd und die User nutzen noch den Quarantäne Mail Manager, weshalb sie den AD Login benötigen. Weiterhin soll die HTML5VPN Funktion (am besten mit direkt weitergegebenen Logindaten) nutzbar sein.
Folglich werde ich nicht um einen RADIUS Server herumkommen.
Also hab ich einen Netzwerkrichtlinien Server auf dem DC (einziger DC; Windows Server 2008 R2) installiert. Bisher hab ich gar keine Erfahrung mit RADIUS gehabt und habs leider auch nicht hinbekommen, den Server so einzurichten, dass nur die Benutzer in einer bestimmten Gruppe bei L2TP over IPsec authentifiziert werden können (wie gesagt ist dort bisher der einzige Zweck, genau für diesen Service zu authentifizieren).

Meine Zwei Fragen sind nun:
[LIST=1]
  • Entweder gibt es doch eine Möglichkeit, mein Vorhaben ohne RADIUS hinzubekommen. Mir fehlt ja bisher noch die Erkenntnis, warum es in der Astaro diese Beschränkung gibt (RADIUS oder lokale Authentifizierung)...
  • Auch wenn die Frage nicht unbedingt Astaro/Sophos Security Gateway spezifisch ist: Welche Richtlinie muss ich mit welchen Optionen im RADIUS Server konfigurieren, damit bei Authentifizierung für L2TP over IPsec der Benutzer sich genau dann authentifizieren kann, wenn er Mitglied einer speziellen Gruppe (z.B. SECURITYGATEWAY_L2TPOVERIPSEC) ist
[/LIST]

Ich würde mich sehr über Unterstützung und Hinweise freuen.


This thread was automatically locked due to age.
Parents
  • 0
    (Sorry, German-speaking brain not working at the moment. [:(])

    Maygyver,  I think you're right that I made an unwarranted assumption...

    Wiseguy, in order for the SMTP Proxy to produce the Quarantine Report and to supply personal black/whitelists, there must be a user in the UTM.    In this case, the "local" users can be synced automatically from AD.  When the User's password in AD is changed, the new information also can be synced automatically to the UTM.

    I assumed that you had that configured, but, in re-reading, I see that that was an incorrect assumption.  Instead, now everyone gets a separate email for each mail quarantined.  They then manage their Quarantines via the User Portal.

    Usually, the issue of working with AD comes up when discussion the HTTP Proxy, and I recommend against syncing users to the UTM for that.  In your case, I would recommend using the 'Erweitert' tab to autosync users.  This will allow you to use the same logins as in AD for L2TP/IPsec and would simplify the work needed by your users for the email quarantine.

    MfG - Bob (Bitte auf Deutsch weiterhin!)
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Reply
  • 0
    (Sorry, German-speaking brain not working at the moment. [:(])

    Maygyver,  I think you're right that I made an unwarranted assumption...

    Wiseguy, in order for the SMTP Proxy to produce the Quarantine Report and to supply personal black/whitelists, there must be a user in the UTM.    In this case, the "local" users can be synced automatically from AD.  When the User's password in AD is changed, the new information also can be synced automatically to the UTM.

    I assumed that you had that configured, but, in re-reading, I see that that was an incorrect assumption.  Instead, now everyone gets a separate email for each mail quarantined.  They then manage their Quarantines via the User Portal.

    Usually, the issue of working with AD comes up when discussion the HTTP Proxy, and I recommend against syncing users to the UTM for that.  In your case, I would recommend using the 'Erweitert' tab to autosync users.  This will allow you to use the same logins as in AD for L2TP/IPsec and would simplify the work needed by your users for the email quarantine.

    MfG - Bob (Bitte auf Deutsch weiterhin!)
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
Children
No Data
Cookie Information Banner