So konfigurieren Sie die sichere LDAP (LDAPS) Authentifizierung mit Windows Server 2025 Active Directory auf Zyxel Firewalls (uOS)

Die USG FLEX H Serie bietet zwei verschiedene Methoden zur Integration mit einem Verzeichnisdienst für die Benutzer-Authentifizierung.

• LDAP/LDAPS Server – Ein Standard-LDAP-Client, der Benutzer gegen Microsoft Active Directory sowie andere LDAP-kompatible Verzeichnisdienste wie OpenLDAP authentifizieren kann. Die Firewall authentifiziert Benutzer über LDAP- oder LDAPS-Abfragen und tritt nicht der Active Directory-Domäne bei.
• AD Server – Eine von Zyxel speziell für Microsoft Active Directory entwickelte Funktion. Die Firewall tritt der Active Directory-Domäne als Domänenmitglied bei (ähnlich einem Windows-Computer) und kommuniziert direkt mit der Domäne.

Dieser Artikel erklärt, wie Sie die sichere LDAP (LDAPS) Authentifizierung auf einer USG FLEX H Serie Firewall mit Windows Server 2025 Active Directory konfigurieren.

Hinweis: Wenn Sie möchten, dass die Firewall der Active Directory-Domäne beitritt und die integrierte Zyxel AD Server-Funktion anstelle der LDAP/LDAPS-Authentifizierung verwendet, lesen Sie bitte den folgenden Artikel:

Hinweis:  Der LDAP-Server wird nicht als Authentifizierungsoption für IPSec VPN aufgeführt, da er nicht unterstützt wird. Die Authentifizierungsoptionen für verschiedene VPN-Typen sind wie folgt:

IKEv1 (L2TP VPN): Nebula Cloud-Authentifizierung, Active Directory (AD), RADIUS und LDAP.
IKEv2 (IPSec VPN): Nebula Cloud-Authentifizierung, Active Directory (AD) und RADIUS.

Voraussetzungen

Stellen Sie vor Beginn sicher, dass die folgenden Anforderungen erfüllt sind:

• Zyxel Firewall mit uOS 1.39 oder höher
• Windows Server 2025 mit installiertem Active Directory Domain Services (AD DS)
• Active Directory Certificate Services (AD CS)
• DNS ist korrekt konfiguriert, sodass die Firewall die AD-Domäne und den Domänencontroller auflösen kann
• Netzwerkverbindung zwischen der Firewall und dem Domänencontroller
• Ein Domänenadministrator-Konto (oder ein Konto mit ausreichenden Berechtigungen, um PCs der Domäne hinzuzufügen)
• Administratorzugang sowohl zur Firewall als auch zum Windows Server

Warum LDAPS verwenden?

Hinweis: Obwohl Standard-LDAP (TCP 389) in vielen Umgebungen noch unterstützt wird, wird LDAPS für produktive Einsätze empfohlen, da es die gesamte Kommunikation zwischen der Firewall und dem Active Directory-Server verschlüsselt.

Schritt 1 - Installation der Active Directory Certificate Services (AD CS)

Bevor Sie LDAPS konfigurieren, muss der Domänencontroller ein gültiges Zertifikat besitzen, das die Serverauthentifizierung unterstützt. Dieses Zertifikat wird von den Active Directory Certificate Services (AD CS) ausgestellt.

In diesem Beispiel hostet der Domänencontroller auch die Zertifizierungsstelle.

Öffnen Sie den Assistenten zum Hinzufügen von Rollen und Features

1. Öffnen Sie den Server-Manager.
2. Klicken Sie auf Verwalten.
3. Wählen Sie Rollen und Features hinzufügen.

Schritt 2 - Konfigurieren der Active Directory Certificate Services

Nach Abschluss der Installation klicken Sie auf:

Active Directory Certificate Services auf dem Zielserver konfigurieren

Enterprise CA integriert sich in Active Directory und wird für Domänenumgebungen empfohlen. Sie unterstützt die automatische Zertifikatsregistrierung und ist für die meisten Active Directory-Zertifikatsbereitstellungen, einschließlich LDAPS, erforderlich.

Standalone CA ist für isolierte oder Offline-Bereitstellungen gedacht und integriert sich nicht in Active Directory.

Hinweis: Dieses Beispiel verwendet eine Enterprise Root CA mit einem neuen privaten Schlüssel, um die Bereitstellung zu vereinfachen. Diese Einstellungen werden für eine neue CA-Installation empfohlen und sind für die LDAPS-Authentifizierung in den meisten Labor- und KMU-Umgebungen ausreichend.

Kryptografie

Belassen Sie die Standardeinstellungen:

• Kryptografischer Anbieter: RSA#Microsoft Software Key Storage Provider
• Schlüssellänge: 2048 Bit
• Hash-Algorithmus: SHA256

CA-Name

Geben Sie einen aussagekräftigen Namen für die Zertifizierungsstelle an oder behalten Sie den automatisch generierten Wert bei.

Beispiel:

ZY-Root-CA

Hinweis: Die Standard-Kryptografieeinstellungen werden für die meisten Bereitstellungen empfohlen. Der CA-Name identifiziert die Zertifizierungsstelle und erscheint in allen von dieser CA ausgestellten Zertifikaten.

Schritt 3 - Überprüfung der Zertifizierungsstelle

Nach Abschluss der AD CS-Konfiguration überprüfen Sie, ob die Zertifizierungsstelle erfolgreich installiert wurde und betriebsbereit ist.

1. Öffnen Sie den Server-Manager.
2. Klicken Sie auf Extras.
3. Wählen Sie Zertifizierungsstelle.
4. Überprüfen Sie, ob die Zertifizierungsstelle aufgeführt ist und ihr Status ohne Fehler angezeigt wird.

Hinweis: Ein grünes Statussymbol neben der Zertifizierungsstelle zeigt an, dass der Dienst ordnungsgemäß läuft und bereit ist, Zertifikate auszustellen.

Überprüfung des Domänencontroller-Zertifikats 

1. Öffnen Sie Ausführen, geben Sie certlm.msc ein und drücken Sie Enter.
2. Navigieren Sie zu Zertifikate (Lokaler Computer) → Persönlich → Zertifikate.
3. Überprüfen Sie, ob das Zertifikat des Domänencontrollers vorhanden ist und die erweiterte Schlüsselnutzung Serverauthentifizierung enthält.

Hinweis: Der Domänencontroller muss ein gültiges Serverauthentifizierungs-Zertifikat besitzen, um LDAPS-Verbindungen über TCP-Port 636 zu akzeptieren.

Überprüfung der LDAPS-Konnektivität

Überprüfen Sie, ob der Domänencontroller sichere LDAP-Verbindungen über TCP-Port 636 akzeptiert.

Führen Sie den folgenden Befehl in PowerShell aus:

Test-NetConnection localhost -Port 636

Vergewissern Sie sich, dass TcpTestSucceeded auf True steht.

Hinweis: Falls der Test fehlschlägt, überprüfen Sie, ob der Domänencontroller ein gültiges Serverauthentifizierungs-Zertifikat besitzt und der Active Directory Domain Services-Dienst nach Ausstellung des Zertifikats neu gestartet wurde.

Schritt 4 - Exportieren des Root-CA-Zertifikats

1. Öffnen Sie die Zertifizierungsstelle.
2. Klicken Sie mit der rechten Maustaste auf die Zertifizierungsstelle und wählen Sie Eigenschaften.
3. Klicken Sie auf der Registerkarte Allgemein auf Zertifikat anzeigen.
4. Wechseln Sie zur Registerkarte Details und klicken Sie auf In Datei kopieren....

Hinweis: Exportieren Sie nur das Root-CA-Zertifikat. Exportieren Sie nicht den privaten Schlüssel.

1. Wählen Sie Base-64 codiertes X.509 (.CER) und klicken Sie auf Weiter.
2. Geben Sie einen Dateinamen an und klicken Sie auf Fertig stellen.

Schritt 5 - Importieren des Root-CA-Zertifikats in die Firewall

• Melden Sie sich an der Weboberfläche der USG FLEX H an. 
• Navigieren Sie zu System → Zertifikat → Vertrauenswürdige Zertifikate. 
• Klicken Sie auf Importieren. Geben Sie einen Namen ein (z. B. ZY-Root-CA). 
• Wählen Sie die exportierte Datei ZY-Root-CA.cer aus. 
• Klicken Sie auf OK, um das Zertifikat zu importieren.

Hinweis: Das importierte CA-Zertifikat wird verwendet, um die Identität des LDAPS-Servers während des TLS-Handshakes zu überprüfen.

Schritt 6 – Konfigurieren des LDAPS-Servers auf der Firewall H Serie

Ermitteln des Distinguished Name (DN)

So erhalten Sie den Distinguished Name (DN) eines Active Directory-Benutzers:

1. Öffnen Sie Active Directory-Benutzer und -Computer.
2. Suchen Sie das Benutzerkonto, klicken Sie mit der rechten Maustaste darauf und wählen Sie Eigenschaften.

3. Öffnen Sie die Registerkarte Attribut-Editor.

   Hinweis: Wenn die Registerkarte Attribut-Editor nicht sichtbar ist, aktivieren Sie Erweiterte Funktionen im Menü Ansicht.

4. Suchen Sie das Attribut distinguishedName und klicken Sie auf Anzeigen.
5. Kopieren Sie den angezeigten Wert.

Konfigurieren Sie den LDAP-Server mit Ihren Active Directory-Einstellungen.

• Navigieren Sie zu Benutzer & Authentifizierung → Benutzer-Authentifizierung → AAA Server. 
• Klicken Sie im Abschnitt LDAP Server auf Hinzufügen. 

Hinweis: Der Bind DN muss mit dem vollständigen Distinguished Name (DN) des Benutzers eingegeben werden, zum Beispiel:

CN=ldap1,OU=Users,OU=IT,OU=DE_Campus,DC=zy,DC=local

Schritt 7 – Validierung der LDAP-Server-Konfiguration

Um zu überprüfen, ob der LDAP-Server korrekt konfiguriert ist und die Firewall mit Active Directory kommunizieren kann, führen Sie eine Konfigurationsvalidierung durch.

1. Navigieren Sie zu Benutzer & Authentifizierung > Benutzer/Gruppe > Benutzer.
2. Klicken Sie auf Hinzufügen.
3. Konfigurieren Sie die folgenden Einstellungen:
   • Benutzertyp – Externer Gruppenbenutzer
   • Authentifizierungsserver – Wählen Sie den im vorherigen Schritt erstellten LDAP-Server aus.
   • Gruppenkennung – Wählen Sie eine vorhandene Active Directory-Gruppe aus.
4. Geben Sie unter Konfigurationsvalidierung den Benutzernamen eines bestehenden Active Directory-Benutzers ein, der Mitglied der ausgewählten Gruppe ist.
5. Klicken Sie auf Testen.

Wenn die Validierung erfolgreich ist, zeigt die Firewall eine Bestätigungsmeldung an, dass der Benutzer Mitglied der ausgewählten Active Directory-Gruppe ist. Im Abschnitt Zurückgegebene Benutzerattribute werden außerdem die LDAP-Attribute angezeigt, die vom Verzeichnisserver abgerufen wurden.

Dies bestätigt, dass die Firewall erfolgreich mit dem LDAP-Server kommunizieren und Active Directory-Benutzer sowie Gruppenmitgliedschaften abfragen kann.

Schritt 8 – Überprüfung der LDAP-Authentifizierung mit SSL VPN

Um zu überprüfen, ob die LDAP-Authentifizierung korrekt funktioniert, konfigurieren Sie den SSL VPN-Server so, dass er den LDAP-Server verwendet und sich mit einem Active Directory-Benutzer authentifiziert.

1. Navigieren Sie zu VPN > SSL VPN.
2. Wählen Sie im Abschnitt Authentifizierung den konfigurierten LDAP-Server als Primärserver aus.
3. Klicken Sie auf Herunterladen, um die SSL VPN-Client-Konfiguration herunterzuladen.
4. Importieren Sie die Konfiguration in den SecuExtender VPN Client und stellen Sie die VPN-Verbindung her.
5. Geben Sie bei Aufforderung die Anmeldedaten eines Active Directory-Benutzers ein und klicken Sie auf OK.

Wenn die Konfiguration korrekt ist, authentifiziert die Firewall den Benutzer gegen den LDAP-Server und stellt die SSL VPN-Verbindung erfolgreich her.