Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 28 replies
  • Subscribers 1 subscriber
  • Views 14303 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Adding 2nd Domain to SSO / Web Proxy

mrainey
I have ASG 120 and ASG 220 v 7.509 in 2 offices connected via Site2Site VPN. There is a different domain behind each ASG. There is a 2 way Forest Wide Trust established between the 2 domain's AD.

Recently turned on SSO and HTTP/S Proxy profiles on the domain behind the ASG 120 (the 220 will follow soon) I have 2 AD groups, MereMortals and VIPS, with different filter items and all is working well.

Now I have some PC's at the 120 site that are joining the domain at the 220 site. So it seems that I need to add a 2nd domain to the SSO / Web Proxy config there. I found this kb article that is not very helpful: https://support.astaro.com/support/index.php/Authenticate_multiple_AD_domains_via_SSO

I already have the trust relationship set up, users at either site can access resources on the other domain's servers. The trust is a 2 way Forest Trust, not a External Trust as mentioned in the link, but MS says the External Trust only needs to be used when a Forest Trust is not possible.

My confusion comes with setting up the User Authentication on the ASG. I can only have 1 domain and 1 authentication server on the SSO tab so how can I create user groups that authenticate to the other domain?

Do I just manually create a new group by keying in something like CN=MereMortals,OU=Users,DC=domain2,DC=com? There is no way to do a prefetch so do the users get created when they log on? What happens when the username is the same in both domains?


This thread was automatically locked due to age.
Parents
  • 0
    I'm still running 7.509. The proxy has been running fine for a couple of months, even after I added the second domain the local domain users were authenticating properly. When I bounced the http/s service it suddenly stopped. If I update to v 8 do I have to update all 4 asg units at the same time? Any problems with site2site vpn when they are on different major releases? I read some early reports about v 8 being a memory hog, these units are all running 70 80 % RAM most of the time anyway.

    Immediate plan is to restart unit this evening, then turn on sso/https profiles. If that doesn't work, I will restore a backup.
  • 0 in reply to mrainey
    You may just need to reboot the box, or restart the AUA daemon...  I have had that work on occasion -- iirc, stopping the httpproxy and the aua daemon, then restarting one or the other first, was the way to get it going again -- this was back when I was dealing with a wierd Kerberos issue at a customer site, and couldn't wait on a reboot -- a reboot would certainly work.

    As for your questions regarding V8 and V7:

    1) I take one thing back concerning what I said in an earlier post; I do have one managed customer that still has 7.511 at their main site, with the remote 110 units running 8.103 (about 6) all connected with IPSEC tunnels, interoperability is fine between 7 and 8 regarding VPN tunnels -- I have other customers that during the big upgrade phase worked fine with differing versions existing at different sites, etc.

    2)  Version 8 does have a bigger RAM footprint than 7;  1GB is a minimum for the 220 and 110/120 appliances (I know one of our other friends will post and say Version 8 is worthless on a 1GB appliance -- not true, I have many customers that we upgraded with success; yes, swap is higher, but the infrequently used processes are what are swapped out).  If you are at 80 or 90 percent utilization with an appliance that has 1GB in it now, it's probably undersized, time for an upgrade.  If you are running older 110/120/220 appliances that have only 512MB in them, you need to upgrade them (replacement) before going to Version 8.

    As far as my recommendations for updating to the Version 8 platform:

    1) Know that all logs and reporting (other than the anti-spam DB and queued / quarantined items) will be deleted during the V7 to V8 upgrade phase
    2) I'd update all devices to Version 7.511 before attempting an up2date to the Version 8 Firmware.
    3) After the devices update to the Major V8 Version, I'd get the devices up2dated to Version 8.103, and hold there until the 8.2xx branch stabilizes
    4) I do not recommend installing V8 on any device with less than 1GB of RAM (and neither does Astaro, for that matter).
Reply
  • 0 in reply to mrainey
    You may just need to reboot the box, or restart the AUA daemon...  I have had that work on occasion -- iirc, stopping the httpproxy and the aua daemon, then restarting one or the other first, was the way to get it going again -- this was back when I was dealing with a wierd Kerberos issue at a customer site, and couldn't wait on a reboot -- a reboot would certainly work.

    As for your questions regarding V8 and V7:

    1) I take one thing back concerning what I said in an earlier post; I do have one managed customer that still has 7.511 at their main site, with the remote 110 units running 8.103 (about 6) all connected with IPSEC tunnels, interoperability is fine between 7 and 8 regarding VPN tunnels -- I have other customers that during the big upgrade phase worked fine with differing versions existing at different sites, etc.

    2)  Version 8 does have a bigger RAM footprint than 7;  1GB is a minimum for the 220 and 110/120 appliances (I know one of our other friends will post and say Version 8 is worthless on a 1GB appliance -- not true, I have many customers that we upgraded with success; yes, swap is higher, but the infrequently used processes are what are swapped out).  If you are at 80 or 90 percent utilization with an appliance that has 1GB in it now, it's probably undersized, time for an upgrade.  If you are running older 110/120/220 appliances that have only 512MB in them, you need to upgrade them (replacement) before going to Version 8.

    As far as my recommendations for updating to the Version 8 platform:

    1) Know that all logs and reporting (other than the anti-spam DB and queued / quarantined items) will be deleted during the V7 to V8 upgrade phase
    2) I'd update all devices to Version 7.511 before attempting an up2date to the Version 8 Firmware.
    3) After the devices update to the Major V8 Version, I'd get the devices up2dated to Version 8.103, and hold there until the 8.2xx branch stabilizes
    4) I do not recommend installing V8 on any device with less than 1GB of RAM (and neither does Astaro, for that matter).
Children
No Data