Come Configurare l'Autenticazione Secure LDAP (LDAPS) con Windows Server 2025 Active Directory su Firewall Zyxel (uOS)

La Serie USG FLEX H offre due metodi differenti per integrare un servizio di directory per l'autenticazione degli utenti.

• Server LDAP/LDAPS – Un client LDAP standard che può autenticare gli utenti contro Microsoft Active Directory così come altri servizi di directory compatibili con LDAP, come OpenLDAP. Il firewall autentica gli utenti tramite query LDAP o LDAPS e non si unisce al dominio Active Directory.
• Server AD – Una funzionalità Zyxel progettata specificamente per Microsoft Active Directory. Il firewall si unisce al dominio Active Directory come membro del dominio (simile a un computer Windows) e comunica direttamente con il dominio.

Questo articolo spiega come configurare l'autenticazione Secure LDAP (LDAPS) su un Firewall USG FLEX H Series utilizzando Windows Server 2025 Active Directory.

Nota: Se desideri che il firewall si unisca al dominio Active Directory e utilizzi la funzionalità integrata Zyxel AD Server invece dell'autenticazione LDAP/LDAPS, fai riferimento al seguente articolo:

Nota:  Il server LDAP non è elencato come opzione di autenticazione per IPSec VPN perché non è supportato. Le opzioni di autenticazione per i diversi tipi di VPN sono le seguenti:

IKEv1 (L2TP VPN): Autenticazione Cloud Nebula, Active Directory (AD), RADIUS e LDAP.
IKEv2 (IPSec VPN): Autenticazione Cloud Nebula, Active Directory (AD) e RADIUS.

Prerequisiti

Prima di iniziare, assicurati che siano soddisfatti i seguenti requisiti:

• Firewall Zyxel con uOS 1.39 o versione successiva
• Windows Server 2025 con Active Directory Domain Services (AD DS) installato
• Active Directory Certificate Services (AD CS)
• DNS configurato correttamente, che consenta al firewall di risolvere il dominio AD e il Domain Controller
• Connettività di rete tra il firewall e il Domain Controller
• Un account Amministratore di Dominio (o un account con permessi sufficienti per aggiungere PC al dominio)
• Accesso amministrativo sia al firewall che al Windows Server

Perché usare LDAPS?

Nota: Sebbene LDAP standard (TCP 389) sia ancora supportato in molti ambienti, LDAPS è consigliato per le implementazioni in produzione perché cifra tutte le comunicazioni tra il firewall e il server Active Directory.

Passo 1 - Installare Active Directory Certificate Services (AD CS)

Prima di configurare LDAPS, il Domain Controller deve avere un certificato valido che supporti l'Autenticazione del Server. Questo certificato viene emesso da Active Directory Certificate Services (AD CS).

In questo esempio, il Domain Controller ospita anche l'Autorità di Certificazione.

Apri la procedura guidata Aggiungi Ruoli e Funzionalità

1. Apri Server Manager.
2. Clicca su Gestisci.
3. Seleziona Aggiungi Ruoli e Funzionalità.

Passo 2 - Configurare Active Directory Certificate Services

Dopo il completamento dell'installazione, clicca:

Configura Active Directory Certificate Services sul server di destinazione

Enterprise CA si integra con Active Directory ed è consigliata per ambienti di dominio. Supporta la registrazione automatica dei certificati ed è necessaria per la maggior parte delle implementazioni di certificati Active Directory, incluso LDAPS.

Standalone CA è destinata a implementazioni isolate o offline e non si integra con Active Directory.

Nota: Questo esempio utilizza un Enterprise Root CA con una nuova chiave privata per semplificare l'implementazione. Queste impostazioni sono consigliate per una nuova installazione CA e sono sufficienti per l'autenticazione LDAPS nella maggior parte degli ambienti di laboratorio e PMI.

Crittografia

Lascia le impostazioni predefinite:

• Provider crittografico: RSA#Microsoft Software Key Storage Provider
• Lunghezza chiave: 2048 bit
• Algoritmo di hash: SHA256

Nome CA

Specifica un nome descrittivo per l'Autorità di Certificazione o mantieni il valore generato automaticamente.

Esempio:

ZY-Root-CA

Nota: Le impostazioni crittografiche predefinite sono consigliate per la maggior parte delle implementazioni. Il nome CA identifica l'Autorità di Certificazione e apparirà in tutti i certificati emessi da questa CA.

Passo 3 - Verificare l'Autorità di Certificazione

Dopo aver completato la configurazione di AD CS, verifica che l'Autorità di Certificazione sia stata installata correttamente e sia operativa.

1. Apri Server Manager.
2. Clicca su Strumenti.
3. Seleziona Autorità di Certificazione.
4. Verifica che l'Autorità di Certificazione sia elencata e che il suo stato sia visualizzato senza errori.

Nota: Un'icona di stato verde accanto all'Autorità di Certificazione indica che il servizio è in esecuzione correttamente ed è pronto per emettere certificati.

Verificare il certificato del Domain Controller 

1. Apri Esegui, digita certlm.msc e premi Invio.
2. Naviga in Certificati (Computer locale) → Personale → Certificati.
3. Verifica che il certificato del Domain Controller sia presente e includa l'uso chiave avanzato Autenticazione del Server.

Nota: Il Domain Controller deve avere un certificato valido per Autenticazione del Server per accettare connessioni LDAPS sulla porta TCP 636.

Verificare la connettività LDAPS

Verifica che il Domain Controller stia accettando connessioni LDAP sicure sulla porta TCP 636.

Esegui il seguente comando in PowerShell:

Test-NetConnection localhost -Port 636

Verifica che TcpTestSucceeded sia True.

Nota: Se il test fallisce, verifica che il Domain Controller abbia un certificato valido per l'Autenticazione del Server e che il servizio Active Directory Domain Services sia stato riavviato dopo l'emissione del certificato.

Passo 4 - Esportare il certificato Root CA

1. Apri Autorità di Certificazione.
2. Fai clic con il tasto destro sull'Autorità di Certificazione e seleziona Proprietà.
3. Nella scheda Generale, clicca su Visualizza certificato.
4. Vai alla scheda Dettagli e clicca su Copia su file....

Nota: Esporta solo il certificato Root CA. Non esportare la chiave privata.

1. Seleziona X.509 codificato in Base-64 (.CER) e clicca su Avanti.
2. Specifica un nome file e clicca su Fine.

Passo 5 - Importare il certificato Root CA nel Firewall

• Accedi all'interfaccia web del USG FLEX H. 
• Naviga in Sistema → Certificato → Certificati attendibili. 
• Clicca su Importa. Inserisci un Nome (ad esempio, ZY-Root-CA). 
• Seleziona il file ZY-Root-CA.cer esportato. 
• Clicca su OK per importare il certificato.

Nota: Il certificato CA importato sarà utilizzato per verificare l'identità del server LDAPS durante la stretta di mano TLS.

Passo 6 – Configurare il server LDAPS sul Firewall H Series

Trova il Distinguished Name (DN)

Per ottenere il Distinguished Name (DN) di un utente Active Directory:

1. Apri Utenti e Computer di Active Directory.
2. Individua e fai clic destro sull'account utente, quindi seleziona Proprietà.

3. Apri la scheda Editor attributi.

   Nota: Se la scheda Editor attributi non è visibile, abilita le Funzionalità avanzate dal menu Visualizza.

4. Individua l'attributo distinguishedName e clicca su Visualizza.
5. Copia il valore visualizzato.

Configura il server LDAP usando le impostazioni di Active Directory.

• Naviga in Utenti e Autenticazione → Autenticazione Utente → Server AAA. 
• Nella sezione Server LDAP, clicca su Aggiungi. 

Nota: Il Bind DN deve essere inserito utilizzando il Distinguished Name (DN) completo dell'utente, ad esempio:

CN=ldap1,OU=Users,OU=IT,OU=DE_Campus,DC=zy,DC=local

Passo 7 – Verificare la configurazione del server LDAP

Per verificare che il server LDAP sia configurato correttamente e che il firewall possa comunicare con Active Directory, esegui una convalida della configurazione.

1. Naviga in Utenti e Autenticazione > Utente/Gruppo > Utente.
2. Clicca su Aggiungi.
3. Configura le seguenti impostazioni:
   • Tipo Utente – Utente Gruppo Esterno
   • Server di Autenticazione – Seleziona il server LDAP creato nel passo precedente.
   • Identificatore Gruppo – Seleziona un gruppo Active Directory esistente.
4. Nella sezione Convalida Configurazione, inserisci il nome utente di un utente Active Directory esistente che sia membro del gruppo selezionato.
5. Clicca su Test.

Se la convalida ha successo, il firewall mostra un messaggio di conferma che indica che l'utente appartiene al gruppo Active Directory selezionato. La sezione Attributi Utente Restituiti mostra anche gli attributi LDAP recuperati dal server di directory.

Questo conferma che il firewall può comunicare con successo con il server LDAP e interrogare utenti e appartenenza ai gruppi di Active Directory.

Passo 8 – Verificare l'autenticazione LDAP con SSL VPN

Per verificare che l'autenticazione LDAP funzioni correttamente, configura il server SSL VPN per utilizzare il server LDAP e autenticarsi con un utente Active Directory.

1. Naviga in VPN > SSL VPN.
2. Nella sezione Autenticazione, seleziona il Server LDAP configurato come Server Primario.
3. Clicca su Scarica per scaricare la configurazione client SSL VPN.
4. Importa la configurazione nel Client VPN SecuExtender e connettiti alla VPN.
5. Quando richiesto, inserisci le credenziali di un utente Active Directory e clicca su OK.

Se la configurazione è corretta, il firewall autentica l'utente tramite il server LDAP e stabilisce con successo la connessione SSL VPN.