Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 23 replies
  • Subscribers 1 subscriber
  • Views 9656 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Weird problem with AD SSO

gente
Hello Guys,

I'm trying to configure AD SSO with an ASG220. The firewall joined our domain (W2k8 R2 but in 2k3 scheme) and when I'll do the "test Authentication" in the webadmin everything seems fine. The test passes and I get back the groups of the specific user I'm testing.

The AD authentication even works for ssl vpn, it just didn't for the proxy.

When the authentication is activated, I get a popup where I have to fill in the credentials (in IE as well as Opera). After filling in the data and closing the popup it just pops up again. This repeats several times, unless I got a page that the authentication fails. Of course I've checked the Authenication Daemon Log - there was no entry for the authorization.

I've used this guide for configuration:
Astaro V7 Active Directory SSO setup and HTTP Profiles Configuration

Do you have an idea what could be wrong in my config?


This thread was automatically locked due to age.
  • 0
    Try this: Configure HTTP-S Proxy with AD-SSO.  I guess that you've run into the glitch mention in section V.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    Hello, as it seems I really ran into that glitch. Anyway I removed the LDAP Query and exchanged it with the group name, as it is described in the how to. Authentication tests passed and I got back the right groups for the user I was testing.

    Then I flushed the auth cache and tried to turn on the proxy profiles - but I just got the same problems as described in my first post. Popup for the credentials, after 3 tries it closes and I got a site that I can't authenticate, without any sign that I've tried in the auth daemon log.

    I'll post what I've got:

    [SIZE="2"]2010:09:28-09:16:11 gw aua[17899]: id="3006" severity="info" sys="System" sub="auth" name="Spawned child for authentication test"
    2010:09:28-09:16:11 gw aua[17899]: id="3006" severity="info" sys="System" sub="auth" name="Authentication test request: m:adirectory, f:none, u:user, ip:"
    2010:09:28-09:16:11 gw aua[17899]: id="3006" severity="info" sys="System" sub="auth" name="Testing method adirectory"
    2010:09:28-09:16:11 gw aua[17899]: id="3006" severity="info" sys="System" sub="auth" name="Trying 0.0.0.117 (adirectory)"
    2010:09:28-09:16:11 gw aua[17899]: id="3006" severity="info" sys="System" sub="auth" name="Authentication test successfull"[/SIZE]

    I'll hope I corrected the groups right regarding to the glitch, anyway I appreciate every help I get on this topic.
  • 0
    The problem appears to be that your Astaro is not joined to your domain.  The document I recommended includes the following in section IV:
    To successfully configure SSO, do not manually add the Astaro in Active Directory on the AD server. If you have added it there, you will need to return to the server running the AD services where you must remove the Astaro from Active Directory before continuing with the rest of this document.

    Once you've removed the Astaro from the AD server, you can go to the SSO tab in WebAdmin and join again.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    BTW, I believe this issue (have to leave that server field blank when joining) is fixed in 8.002.

    CTO, Convergent Information Security Solutions, LLC

    https://www.convergesecurity.com

    Advice given as posted on this forum does not construe a support relationship or other relationship with Convergent Information Security Solutions, LLC or its subsidiaries.  Use the advice given at your own risk.

  • 0
    Bruce, from the pics he supplied, I guessed he was on 7.5 instead of 8.000 or 8.001.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    Yes we are on 7.507 and with the little resources left on our 220 I don't know yet if we update to 8 or just buy a 320 next year with V8 preinstalled. 

    Anyway I never joined the domain manually with the asg, I've used the SSO Tab which is described in the guide (but the asg joined 2 months ago). I'll try to remove it and rejoin the domain tomorrow, possibly that helps.
  • 0
    If that doesn't resolve your issue, please show pics of the HTTP/S 'Global' tab and the 'Proxy Profiles' tab.  You also might confirm that you don't have a local user with the name you're testing.

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0
    I've just deleted the asg from the domain and rejoined it, but the problem didn't resolve. The user accounts on the Astaro are all prefetched or automatically generated with backend sync of the AD except for the local admin-accounts of course.

    I added the 2 requested screenshots.
  • 0
    Can you try to use ASG IP address instead of the FQDN in the IE proxy? Does the problem happen for all the computers and users?
  • 0
    I'll recheck at every configuration change with 3 different users, first one is mine which is in the admin group, the second one is from my colleague from the users group and I'll have a default test user (just a new domain account) which is in the users group.
    I also check different browsers (so far IE8, IE9 Beta, Opera, Chrome and FF) and different OSes (WinXP as ESXi VM and Win7 on my workstation).

    Anyway changing the proxy configuration to IP from FQDN didn't change anything [:(] I'm just confused why I can't see anything at the logs, especially as the firewall always opens the site "Authentication Failed".