So konfigurieren Sie den Zyxel AD-Server und treten einer Windows Server 2025 Active Directory-Domäne auf USG FLEX H Series Firewalls bei

Die USG FLEX H Series bietet zwei verschiedene Methoden zur Integration mit einem Verzeichnisdienst für die Benutzer-Authentifizierung.

• AD-Server – Eine von Zyxel speziell für Microsoft Active Directory entwickelte Funktion. Die Firewall tritt der Active Directory-Domäne als Domänenmitglied bei (ähnlich wie ein Windows-Computer) und kommuniziert direkt mit der Domäne.
• LDAP/LDAPS-Server – Ein standardmäßiger LDAP-Client, der Benutzer gegen Microsoft Active Directory sowie andere LDAP-kompatible Verzeichnisdienste wie OpenLDAP authentifizieren kann. Im Gegensatz zur AD-Server-Funktion tritt die Firewall nicht der Domäne bei, sondern authentifiziert Benutzer über LDAP- oder LDAPS-Abfragen.

Dieser Artikel erklärt, wie die Zyxel AD-Server-Funktion auf einer USG FLEX H Series Firewall mit Windows Server 2025 Active Directory konfiguriert wird.

Hinweis: Wenn Sie Benutzer lieber über eine standardmäßige LDAP/LDAPS-Verbindung authentifizieren möchten, anstatt die Firewall einer Active Directory-Domäne beitreten zu lassen, lesen Sie bitte den folgenden Artikel:

So konfigurieren Sie eine sichere LDAP (LDAPS)-Authentifizierung mit Windows Server 2025 Active Directory auf Zyxel Firewalls (uOS)

Voraussetzungen

Stellen Sie vor Beginn sicher, dass die folgenden Anforderungen erfüllt sind:

• Zyxel Firewall mit uOS 1.39 oder höher
• Windows Server 2025 mit installierten Active Directory Domain Services (AD DS)
• DNS ist korrekt konfiguriert, sodass die Firewall die AD-Domäne und den Domänencontroller auflösen kann
• Netzwerkverbindung zwischen der Firewall und dem Domänencontroller
• Ein Domänenadministrator-Konto (oder ein Konto mit ausreichenden Berechtigungen, um Computer der Domäne hinzuzufügen)
• Administratorzugang sowohl zur Firewall als auch zum Windows Server

Warum die Zyxel AD-Server-Funktion verwenden?

Die AD-Server-Funktion bietet eine native Integration zwischen der Zyxel Firewall und Microsoft Active Directory, indem die Firewall der Active Directory-Domäne als Domänenmitglied beitritt. Dies vereinfacht die Benutzer-Authentifizierung und ermöglicht es der Firewall, direkt mit der Domäne zu kommunizieren.

Nach dem Beitritt zur Domäne kann die Firewall Active Directory-Benutzer und -Gruppen in Sicherheitsrichtlinien verwenden, wodurch die Verwaltung lokaler Benutzerkonten entfällt und die Zugriffskontrolle vereinfacht wird.

Schritt 1 – Vorbereitung der Active Directory-Umgebung

Bevor Sie die Zyxel Firewall konfigurieren, stellen Sie sicher, dass Ihre Active Directory-Umgebung für die Domänenintegration bereit ist.

Die Firewall benötigt:

• Eine bestehende Active Directory-Domäne.
• Einen Domänencontroller, der von der Firewall erreichbar ist.
• DNS so konfiguriert, dass die Firewall die Active Directory-Domäne und den Domänencontroller auflösen kann.
• Ein Domänenkonto mit Berechtigung, Geräte der Active Directory-Domäne hinzuzufügen (z. B. ein Domänenadministrator-Konto).

Überprüfen Sie, ob der Domänencontroller von der Firewall aus erreichbar ist, und notieren Sie die folgenden Informationen, die während der Konfiguration benötigt werden:

Schritt 2 – AD-Server konfigurieren

Nachdem Sie Ihre Active Directory-Umgebung vorbereitet haben, konfigurieren Sie den AD-Server auf der Zyxel Firewall.

1. Navigieren Sie zu Benutzer & Authentifizierung > Benutzer-Authentifizierung.
2. Klicken Sie im Bereich AD-Server auf Hinzufügen.
3. Konfigurieren Sie den AD-Server mit den folgenden Einstellungen.

Klicken Sie auf Übernehmen, um die Konfiguration zu speichern.

Hinweis: Das Feld Bind DN Basis wurde mit uOS 1.35 eingeführt und ermöglicht es der Firewall, Authentifizierungskonten zu finden, die in benutzerdefinierten Organisationseinheiten (OUs) gespeichert sind. Befindet sich das Konto im Standardcontainer CN=Users, ist dieses Feld nicht erforderlich.

Schritt 3 – Firewall der Active Directory-Domäne beitreten

Nachdem Sie den AD-Server konfiguriert haben, können Sie die Firewall der Active Directory-Domäne beitreten lassen.

1. Navigieren Sie zu Benutzer & Authentifizierung > Benutzer-Authentifizierung.
2. Wählen Sie den konfigurierten AD-Server-Eintrag aus.
3. Klicken Sie auf Domäne beitreten.
4. Überprüfen Sie die angezeigten Domäneninformationen.
5. Geben Sie die Anmeldedaten eines Domänenkontos mit Berechtigung zum Hinzufügen von Geräten zur Active Directory-Domäne ein (z. B. ein Domänenadministrator-Konto).

Klicken Sie auf Übernehmen.

Die Firewall versucht, der Active Directory-Domäne mit den angegebenen Anmeldedaten beizutreten.

Wenn der Vorgang erfolgreich ist, zeigt die Spalte Domäne beitreten ein grünes Statussymbol an, das bestätigt, dass die Firewall erfolgreich der Active Directory-Domäne beigetreten ist.

Hinweis: Das Konto, das zum Beitreten der Firewall zur Domäne verwendet wird, muss die Berechtigung besitzen, Geräte zur Active Directory-Domäne hinzuzufügen. Standardmäßig kann ein Domänenadministrator-Konto verwendet werden.

Schritt 4 – Firewall in Active Directory überprüfen

Nachdem die Firewall erfolgreich der Active Directory-Domäne beigetreten ist, wird in Active Directory automatisch ein Computerobjekt erstellt.

So überprüfen Sie, ob die Firewall erfolgreich hinzugefügt wurde:

1. Öffnen Sie Active Directory-Benutzer und -Computer.
2. Erweitern Sie Ihre Active Directory-Domäne.
3. Öffnen Sie den Container Computer (oder die Organisationseinheit, in der neue Computerobjekte erstellt werden).
4. Überprüfen Sie, ob die Firewall als Computer-Objekt angezeigt wird.

Sie können auch die Eigenschaften des Objekts öffnen, um Details wie den Computernamen und den DNS-Namen zu überprüfen.

Das Vorhandensein des Computerobjekts bestätigt, dass die Firewall erfolgreich der Active Directory-Domäne beigetreten ist.

Hinweis: Standardmäßig werden neue Computerobjekte im Container Computer erstellt, es sei denn, Ihre Active Directory-Umgebung ist so konfiguriert, dass sie in eine andere Organisationseinheit (OU) umgeleitet werden.

Schritt 5 – AD-Server-Konfiguration validieren

Nachdem die Firewall erfolgreich der Active Directory-Domäne beigetreten ist, validieren Sie die AD-Server-Konfiguration, um sicherzustellen, dass die Kommunikation mit Active Directory korrekt funktioniert.

1. Navigieren Sie zu Benutzer & Authentifizierung > Benutzer-Authentifizierung.
2. Bearbeiten Sie den zuvor konfigurierten AD-Server.
3. Scrollen Sie zum Abschnitt Konfigurationsvalidierung.
4. Geben Sie den Benutzernamen eines bestehenden Active Directory-Benutzers ein.
5. Klicken Sie auf Testen.

Wenn die Validierung erfolgreich ist, wird der Teststatus mit OK angezeigt, und im Abschnitt Zurückgegebene Benutzerattribute werden die aus Active Directory abgerufenen LDAP-Attribute aufgelistet.

Eine erfolgreiche Validierung bestätigt, dass:

• Die Firewall mit dem Domänencontroller kommunizieren kann.
• Die Firewall sich bei Active Directory authentifizieren kann.
• Active Directory-Benutzerinformationen erfolgreich abgerufen werden können.

Hinweis: Wenn die Validierung fehlschlägt, überprüfen Sie die Verbindung zum Domänencontroller, die DNS-Konfiguration, die Domänenanmeldedaten und stellen Sie sicher, dass der angegebene Benutzer in Active Directory existiert.

Schritt 6 – Active Directory-Authentifizierung überprüfen

Um die AD-Server-Konfiguration zu überprüfen, konfigurieren Sie das Remote Access VPN so, dass es den AD-Server für die Authentifizierung verwendet, und testen Sie die Verbindung.

1. Navigieren Sie zu VPN > IPSec VPN > Remote Access VPN.
2. Wählen Sie den konfigurierten AD-Server als Primärserver aus.
3. Klicken Sie auf Herunterladen, um das VPN-Konfigurationsskript herunterzuladen.
4. Importieren Sie die Konfiguration in den SecuExtender VPN Client.
5. Stellen Sie eine Verbindung zum VPN mit einem Active Directory-Benutzerkonto her.

Best Practice für Active Directory-Bereitstellungen an mehreren Standorten

In Umgebungen mit mehreren Active Directory-Standorten oder mehreren Domänencontrollern konfigurieren Sie einen Domain Zone Forwarder, damit die Firewall die Active Directory-Domäne über den lokalen Domänencontroller auflöst. Dies verbessert die Authentifizierungsleistung und Zuverlässigkeit, da die Firewall Active Directory DNS-Weiterleitungen oder Replikationstopologien nicht automatisch folgt.