So konfigurieren Sie die sichere LDAP (LDAPS) Authentifizierung mit Windows Server 2025 Active Directory auf Zyxel Firewalls (uOS)

Die USG FLEX H Serie bietet zwei verschiedene Methoden zur Integration mit einem Verzeichnisdienst für die Benutzer-Authentifizierung.

• LDAP/LDAPS Server – Ein standardmäßiger LDAP-Client, der Benutzer gegen Microsoft Active Directory sowie andere LDAP-kompatible Verzeichnisdienste wie OpenLDAP authentifizieren kann. Die Firewall authentifiziert Benutzer über LDAP- oder LDAPS-Abfragen und tritt nicht der Active Directory-Domäne bei.
• AD Server – Eine Zyxel-Funktion, die speziell für Microsoft Active Directory entwickelt wurde. Die Firewall tritt der Active Directory-Domäne als Domänenmitglied bei (ähnlich einem Windows-Computer) und kommuniziert direkt mit der Domäne.

Dieser Artikel erklärt, wie man sichere LDAP (LDAPS) Authentifizierung auf einer USG FLEX H Serie Firewall mit Windows Server 2025 Active Directory konfiguriert.

Hinweis: Wenn Sie möchten, dass die Firewall der Active Directory-Domäne beitritt und die integrierte Zyxel AD Server-Funktion anstelle der LDAP/LDAPS-Authentifizierung verwendet, lesen Sie bitte den folgenden Artikel:

Hinweis:  Der LDAP-Server wird nicht als Authentifizierungsoption für IPSec VPN aufgeführt, da dies nicht unterstützt wird. Die Authentifizierungsoptionen für verschiedene VPN-Typen sind wie folgt:

IKEv1 (L2TP VPN): Nebula Cloud-Authentifizierung, Active Directory (AD), RADIUS und LDAP.
IKEv2 (IPSec VPN): Nebula Cloud-Authentifizierung, Active Directory (AD) und RADIUS.

Voraussetzungen

Stellen Sie vor Beginn sicher, dass die folgenden Anforderungen erfüllt sind:

• Zyxel Firewall mit uOS 1.39 oder höher
• Windows Server 2025 mit installierten Active Directory Domain Services (AD DS)
• Active Directory Certificate Services (AD CS)
• DNS ist korrekt konfiguriert, sodass die Firewall die AD-Domäne und den Domänencontroller auflösen kann
• Netzwerkverbindung zwischen der Firewall und dem Domänencontroller
• Ein Domänenadministrator-Konto (oder ein Konto mit ausreichenden Berechtigungen, um einen PC der Domäne hinzuzufügen)
• Administratorzugang sowohl zur Firewall als auch zum Windows Server

Warum LDAPS verwenden?

Hinweis: Obwohl standardmäßiges LDAP (TCP 389) von vielen Umgebungen weiterhin unterstützt wird, wird LDAPS für Produktionseinsätze empfohlen, da es alle Kommunikationen zwischen der Firewall und dem Active Directory-Server verschlüsselt.

Schritt 1 – Installation der Active Directory Certificate Services (AD CS)

Bevor LDAPS konfiguriert wird, muss der Domänencontroller ein gültiges Zertifikat besitzen, das Serverauthentifizierung unterstützt. Dieses Zertifikat wird von den Active Directory Certificate Services (AD CS) ausgestellt.

In diesem Beispiel hostet der Domänencontroller auch die Zertifizierungsstelle.

Öffnen Sie den Assistenten zum Hinzufügen von Rollen und Features

1. Öffnen Sie den Server-Manager.
2. Klicken Sie auf Verwalten.
3. Wählen Sie Rollen und Features hinzufügen.

Schritt 2 – Konfigurieren der Active Directory Certificate Services

Nach Abschluss der Installation klicken Sie auf:

Active Directory Certificate Services auf dem Zielserver konfigurieren

Enterprise CA integriert sich in Active Directory und wird für Domänenumgebungen empfohlen. Sie unterstützt die automatische Zertifikatsregistrierung und ist für die meisten Active Directory-Zertifikatseinsätze, einschließlich LDAPS, erforderlich.

Standalone CA ist für isolierte oder Offline-Einsätze gedacht und integriert sich nicht in Active Directory.

Hinweis: Dieses Beispiel verwendet eine Enterprise Root CA mit einem neuen privaten Schlüssel, um die Bereitstellung zu vereinfachen. Diese Einstellungen werden für eine neue CA-Installation empfohlen und sind für die LDAPS-Authentifizierung in den meisten Labor- und KMU-Umgebungen ausreichend.

Kryptografie

Belassen Sie die Standardeinstellungen:

• Kryptografischer Anbieter: RSA#Microsoft Software Key Storage Provider
• Schlüssellänge: 2048 Bit
• Hash-Algorithmus: SHA256

CA-Name

Geben Sie einen beschreibenden Namen für die Zertifizierungsstelle an oder behalten Sie den automatisch generierten Wert bei.

Beispiel:

ZY-Root-CA

Hinweis: Die standardmäßigen kryptografischen Einstellungen werden für die meisten Einsätze empfohlen. Der CA-Name identifiziert die Zertifizierungsstelle und erscheint in allen von dieser CA ausgestellten Zertifikaten.

Schritt 3 – Überprüfen der Zertifizierungsstelle

Nach Abschluss der AD CS-Konfiguration überprüfen Sie, ob die Zertifizierungsstelle erfolgreich installiert und betriebsbereit ist.

1. Öffnen Sie den Server-Manager.
2. Klicken Sie auf Tools.
3. Wählen Sie Zertifizierungsstelle.
4. Überprüfen Sie, ob die Zertifizierungsstelle aufgelistet ist und ihr Status ohne Fehler angezeigt wird.

Hinweis: Ein grünes Statussymbol neben der Zertifizierungsstelle zeigt an, dass der Dienst korrekt läuft und bereit ist, Zertifikate auszustellen.

Überprüfen Sie das Zertifikat des Domänencontrollers 

1. Öffnen Sie Ausführen, geben Sie certlm.msc ein und drücken Sie Enter.
2. Navigieren Sie zu Zertifikate (Lokaler Computer) → Persönlich → Zertifikate.
3. Überprüfen Sie, dass das Zertifikat des Domänencontrollers vorhanden ist und die erweiterte Schlüsselnutzung Serverauthentifizierung enthält.

Hinweis: Der Domänencontroller muss ein gültiges Zertifikat für die Serverauthentifizierung besitzen, um LDAPS-Verbindungen über TCP-Port 636 zu akzeptieren.

Überprüfen der LDAPS-Konnektivität

Vergewissern Sie sich, dass der Domänencontroller sichere LDAP-Verbindungen auf TCP-Port 636 akzeptiert.

Führen Sie folgenden Befehl in PowerShell aus:

Test-NetConnection localhost -Port 636

Überprüfen Sie, ob TcpTestSucceeded auf True steht.

Hinweis: Falls der Test fehlschlägt, überprüfen Sie, ob der Domänencontroller ein gültiges Serverauthentifizierungszertifikat besitzt und der Active Directory Domain Services-Dienst nach Ausstellung des Zertifikats neu gestartet wurde.

Schritt 4 – Exportieren des Root-CA-Zertifikats

1. Öffnen Sie die Zertifizierungsstelle.
2. Klicken Sie mit der rechten Maustaste auf die Zertifizierungsstelle und wählen Sie Eigenschaften.
3. Klicken Sie auf der Registerkarte Allgemein auf Zertifikat anzeigen.
4. Wechseln Sie zur Registerkarte Details und klicken Sie auf In Datei kopieren....

Hinweis: Exportieren Sie nur das Root-CA-Zertifikat. Exportieren Sie nicht den privaten Schlüssel.

1. Wählen Sie Base-64 codiertes X.509 (.CER) und klicken Sie auf Weiter.
2. Geben Sie einen Dateinamen an und klicken Sie auf Fertigstellen.

Schritt 5 – Importieren des Root-CA-Zertifikats in die Firewall

• Melden Sie sich an der Web-Oberfläche der USG FLEX H an. 
• Navigieren Sie zu System → Zertifikat → Vertrauenswürdige Zertifikate. 
• Klicken Sie auf Importieren. Geben Sie einen Namen ein (z. B. ZY-Root-CA). 
• Wählen Sie die exportierte Datei ZY-Root-CA.cer aus. 
• Klicken Sie auf OK, um das Zertifikat zu importieren.

Hinweis: Das importierte CA-Zertifikat wird verwendet, um die Identität des LDAPS-Servers während des TLS-Handshakes zu überprüfen.

Schritt 6 – Konfigurieren des LDAPS-Servers auf der Firewall H Serie

Ermitteln Sie den Distinguished Name (DN)

Um den Distinguished Name (DN) eines Active Directory-Benutzers zu erhalten:

1. Öffnen Sie Active Directory-Benutzer und -Computer.
2. Suchen Sie das Benutzerkonto, klicken Sie mit der rechten Maustaste darauf und wählen Sie Eigenschaften.

3. Öffnen Sie die Registerkarte Attribut-Editor.

   Hinweis: Wenn die Registerkarte Attribut-Editor nicht sichtbar ist, aktivieren Sie Erweiterte Funktionen im Menü Ansicht.

4. Suchen Sie das Attribut distinguishedName und klicken Sie auf Anzeigen.
5. Kopieren Sie den angezeigten Wert.

Konfigurieren Sie den LDAP-Server mit Ihren Active Directory-Einstellungen.

• Navigieren Sie zu Benutzer & Authentifizierung → Benutzer-Authentifizierung → AAA Server. 
• Klicken Sie im Abschnitt LDAP-Server auf Hinzufügen. 

Hinweis: Das Bind DN muss mit dem vollständigen Distinguished Name (DN) des Benutzers eingegeben werden, zum Beispiel:

CN=ldap1,OU=Users,OU=IT,OU=DE_Campus,DC=zy,DC=local

Schritt 7 – Validieren der LDAP-Server-Konfiguration

Um zu überprüfen, ob der LDAP-Server korrekt konfiguriert ist und die Firewall mit Active Directory kommunizieren kann, führen Sie eine Konfigurationsvalidierung durch.

1. Navigieren Sie zu Benutzer & Authentifizierung > Benutzer/Gruppe > Benutzer.
2. Klicken Sie auf Hinzufügen.
3. Konfigurieren Sie folgende Einstellungen:
   • Benutzertyp – Externer Gruppenbenutzer
   • Authentifizierungsserver – Wählen Sie den zuvor erstellten LDAP-Server aus.
   • Gruppenkennung – Wählen Sie eine vorhandene Active Directory-Gruppe aus.
4. Geben Sie unter Konfigurationsvalidierung den Benutzernamen eines bestehenden Active Directory-Benutzers ein, der Mitglied der ausgewählten Gruppe ist.
5. Klicken Sie auf Testen.

Wenn die Validierung erfolgreich ist, zeigt die Firewall eine Bestätigungsmeldung an, dass der Benutzer zur ausgewählten Active Directory-Gruppe gehört. Der Abschnitt Zurückgegebene Benutzerattribute zeigt ebenfalls die vom Verzeichnisserver abgerufenen LDAP-Attribute an.

Dies bestätigt, dass die Firewall erfolgreich mit dem LDAP-Server kommunizieren und Active Directory-Benutzer sowie Gruppenmitgliedschaften abfragen kann.

Schritt 8 – Überprüfen der LDAP-Authentifizierung mit SSL VPN

Um zu überprüfen, ob die LDAP-Authentifizierung korrekt funktioniert, konfigurieren Sie den SSL VPN-Server so, dass er den LDAP-Server verwendet und sich mit einem Active Directory-Benutzer authentifiziert.

1. Navigieren Sie zu VPN > SSL VPN.
2. Wählen Sie im Abschnitt Authentifizierung den konfigurierten LDAP-Server als Primären Server aus.
3. Klicken Sie auf Herunterladen, um die SSL VPN-Client-Konfiguration herunterzuladen.
4. Importieren Sie die Konfiguration in den SecuExtender VPN Client und stellen Sie die VPN-Verbindung her.
5. Geben Sie bei Aufforderung die Anmeldedaten eines Active Directory-Benutzers ein und klicken Sie auf OK.

Wenn die Konfiguration korrekt ist, authentifiziert die Firewall den Benutzer gegen den LDAP-Server und stellt die SSL VPN-Verbindung erfolgreich her.