Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 20 replies
  • Subscribers 1 subscriber
  • Views 6369 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

ASG 7.505 Remote Access based on AD Membership

paule
Hi,

because of my search in the knowledge base lead not to a solution so far I'm posting here in the hope for help.

I try to configure Remote Access for Users based on Active Directory Group Membership.
That means I want to give all members of the AD group remote-users the right to grab the VPN Client from the user portal and to connect afterwards to the ressources of the internal network.

The authentication server tests work all fine. The group membership of the user is detected correctly.

I created a group with backend membership, backend "active directory", checked "limit to backend groups membership" and selected a group. Neither the selection from the AD browser nor simply typing a group name worked afterwards.

A legal member of the group, which was proofen by the server test, could not even log into the user portal so far.

Portal use for local users works fine.

When such a AD backend login is tried aua logs like:
2010:06:16-12:29:41 mail aua[7130]: id="3006" severity="info" sys="System" sub="auth" name="Trying 192.168.XX.129 (adirectory)"
2010:06:16-12:29:42 mail aua[7130]: id="3006" severity="info" sys="System" sub="auth" name="could not set object for testuser: OBJECT_NAMESPACE"
2010:06:16-12:29:42 mail aua[7130]: id="3006" severity="info" sys="System" sub="auth" name="failed to set object"
2010:06:16-12:29:43 mail aua[7130]: id="3005" severity="warn" sys="System" sub="auth" name="Authentication failed" srcip="*********" user="testuser" caller="portal" reason="DENIED" 

( I tried to anonymize these log records, so the IP adresses look scrambled)

So can somebody give any advice in this, please?
Is it possible, what I want to configure?
What goes wrong?

Best regards

Gerold


This thread was automatically locked due to age.
  • 0
    Do you have Authentication configured to create local users for the Portal and SSL VPN?

    Check under Users > Authentication > Create users automatically
    also make sure only the End-User Portal and SSL VPN are selected in the next section.
  • 0 in reply to Jack Daniel
    yes I have.

    and these two are the only ones that are checked.
  • 0
    Do you have User Portal use Allowed networks set to Any and on 443?
    I have the AD part working no problem, and SSL remote access. I followed the steps in the 7.505 Manual Remote Access SSL. My issues are with the remote user resolving the local network names, but that is for another thread.

    Good Luck
  • 0
    Paule, in the first post in this thread, you said,
    The authentication server tests work all fine. The group membership of the user is detected correctly.

    I wonder if you haven't fallen victim to one of the "features" of the Group definition interface...

    Check out the glitch I mention in section V. of https://support.astaro.com/support/index.php/User_Contributed:HTTP/S_Proxy_Access_with_AD-SSO

    Cheers - Bob
  • 0 in reply to BAlfson
    The fact that I considered this I wanted to express with:
    "Neither the selection from the AD browser nor simply typing a group name worked afterwards."

    Yes, I know the document you pointed to.

    Btw, this a renew of the same thread from me with Version 7.405, which died silently:
    simply nobody respondend finally, and the task remained unsolved :-(
  • 0
    @projectile: allowed networks are "any", the port is another one. A equivalent setup works at another installation with local users. Local users from astaro also work in this setup but not access based on AD group membership
  • 0
    Paule, can we see some pictures?
    • Edit of the backend group from 'Users >> Groups'.
    • Result of testing the user+password when editing the AD server in 'Users >> Authentication'.
    • The 'Global' tab of 'Management >> User Portal'.

    Cheers - Bob
  • 0
    Man, Paule, that all looks just perfect to me.  I don't think this could be an issue of the sequence of authorization servers, but you might try moving the AD server definition to #1 if it's not already there.

    The only other thing that might be interesting would be to try a prefetch on the ???-Remote group and watch the live log to see if there's anything interesting in it.

    Seems like it's time to open a ticket with support so they can look into your box.  There's some simple question that we're just not asking.

    Cheers - Bob
  • 0 in reply to BAlfson
    the AD server is the only auth server in this setup, so it is #1

    For the prefetch I must define the ???-remote group complete, from D&D.
    Then the prefetch produces the following protocol:
    2010:06:17-22:41:14 mail user_prefetch[28980]: >=========================================================================
    2010:06:17-22:41:14 mail user_prefetch[28980]: ARGV: $VAR1 = [
    2010:06:17-22:41:14 mail user_prefetch[28980]: '--server-ref',
    2010:06:17-22:41:14 mail user_prefetch[28980]: 'REF_JirhGzzQuP'
    2010:06:17-22:41:14 mail user_prefetch[28980]: ];
    2010:06:17-22:41:14 mail user_prefetch[28980]:  using internal configuration from Confd
    2010:06:17-22:41:14 mail user_prefetch[28980]: Using contexts from confd object
    2010:06:17-22:41:14 mail user_prefetch[28980]: ldap server:
    2010:06:17-22:41:14 mail user_prefetch[28980]: server: 192.168.????.129
    2010:06:17-22:41:14 mail user_prefetch[28980]: port: 389
    2010:06:17-22:41:14 mail user_prefetch[28980]: ssl: 0
    2010:06:17-22:41:14 mail user_prefetch[28980]: bind_dn: info@intern.???????.de
    2010:06:17-22:41:14 mail user_prefetch[28980]: update: 0
    2010:06:17-22:41:14 mail user_prefetch[28980]: contexts:
    2010:06:17-22:41:14 mail user_prefetch[28980]: CN=???-Remote,CN=Users,DC=intern,DC=????????,DC=de
    2010:06:17-22:41:14 mail user_prefetch[28980]: ------------------------------------------------------------
    2010:06:17-22:41:14 mail user_prefetch[28980]: Starting synchronization for adirectory
    2010:06:17-22:41:14 mail user_prefetch[28980]: ------------------------------------------------------------
    2010:06:17-22:41:14 mail user_prefetch[28980]: ------------------------------------------------------------
    2010:06:17-22:41:14 mail user_prefetch[28980]: Searching for users
    2010:06:17-22:41:14 mail user_prefetch[28980]: ------------------------------------------------------------
    2010:06:17-22:41:15 mail user_prefetch[28980]: Connecting to ldap server
    2010:06:17-22:41:15 mail user_prefetch[28980]: ldap server: ldap://192.168.???.129:389
    2010:06:17-22:41:15 mail user_prefetch[28980]: Context 'CN=???-Remote,CN=Users,DC=intern,DC=????????,DC=de' is a group. Adding group members:
    2010:06:17-22:41:15 mail user_prefetch[28980]: CN=testuser\, ????,CN=Users,DC=intern,DC=??????????,DC=de
    2010:06:17-22:41:15 mail user_prefetch[28980]: ------------------------------------------------------------
    2010:06:17-22:41:15 mail user_prefetch[28980]: Performing ldap search:
    2010:06:17-22:41:15 mail user_prefetch[28980]: searching 'CN=testuser\, ????,CN=Users,DC=intern,DC=?????????,DC=de'
    2010:06:17-22:41:15 mail user_prefetch[28980]: Ldap search returned 1 users
    2010:06:17-22:41:15 mail user_prefetch[28980]: Search time: 0m 0s
    2010:06:17-22:41:15 mail user_prefetch[28980]: ------------------------------------------------------------
    2010:06:17-22:41:15 mail user_prefetch[28980]: Adding/updating users
    2010:06:17-22:41:15 mail user_prefetch[28980]: ------------------------------------------------------------
    2010:06:17-22:41:15 mail user_prefetch[28980]: # 1 Creating user testuser
    2010:06:17-22:41:16 mail user_prefetch[28980]: Failed to set object
    2010:06:17-22:41:16 mail user_prefetch[28980]: >=========================================================================
    2010:06:17-22:41:16 mail user_prefetch[28980]: $VAR1 = [
    2010:06:17-22:41:16 mail user_prefetch[28980]: 'OBJECT_NAMESPACE',
    2010:06:17-22:41:16 mail user_prefetch[28980]: {
    2010:06:17-22:41:16 mail user_prefetch[28980]: 'attrs' => [],
    2010:06:17-22:41:16 mail user_prefetch[28980]: 'format' => 'Object namespace collision',
    2010:06:17-22:41:16 mail user_prefetch[28980]: 'name' => 'Object namespace collision',
    2010:06:17-22:41:16 mail user_prefetch[28980]: 'fatal' => 1,
    2010:06:17-22:41:16 mail user_prefetch[28980]: 'external' => 'set_object',
    2010:06:17-22:41:16 mail user_prefetch[28980]: 'msgtype' => 'OBJECT_NAMESPACE'
    2010:06:17-22:41:16 mail user_prefetch[28980]: }
    2010:06:17-22:41:16 mail user_prefetch[28980]: ];
    2010:06:17-22:41:16 mail user_prefetch[28980]: