Hoe de Zyxel AD Server te configureren en een Windows Server 2025 Active Directory-domein te joinen op USG FLEX H Series-firewalls

De USG FLEX H Series biedt twee verschillende methoden voor integratie met een directoryservice voor gebruikersauthenticatie.

• AD Server – Een Zyxel-functie die specifiek is ontworpen voor Microsoft Active Directory. De firewall wordt lid van het Active Directory-domein als een domeinlid (vergelijkbaar met een Windows-computer) en communiceert rechtstreeks met het domein.
• LDAP/LDAPS Server – Een standaard LDAP-client die gebruikers kan authenticeren tegen Microsoft Active Directory evenals andere LDAP-compatibele directoryservices, zoals OpenLDAP. In tegenstelling tot de AD Server-functie wordt de firewall niet lid van het domein en authenticeren gebruikers via LDAP- of LDAPS-query's.

Dit artikel legt uit hoe u de Zyxel AD Server-functie configureert op een USG FLEX H Series Firewall met Windows Server 2025 Active Directory.

Opmerking: Als u de voorkeur geeft aan gebruikersauthenticatie via een standaard LDAP/LDAPS-verbinding in plaats van de firewall lid te maken van een Active Directory-domein, raadpleeg dan het volgende artikel:

Hoe Secure LDAP (LDAPS) Authenticatie te configureren met Windows Server 2025 Active Directory op Zyxel Firewalls (uOS)

Vereisten

Zorg er voor u begint voor dat aan de volgende vereisten is voldaan:

• Zyxel Firewall met uOS 1.39 of hoger
• Windows Server 2025 met Active Directory Domain Services (AD DS) geïnstalleerd
• DNS is correct geconfigureerd, zodat de firewall het AD-domein en de Domain Controller kan resolven
• Netwerkconnectiviteit tussen de firewall en de Domain Controller
• Een Domain Administrator-account (of een account met voldoende rechten om pc's aan het domein toe te voegen)
• Beheerdersrechten voor zowel de firewall als de Windows Server

Waarom de Zyxel AD Server-functie gebruiken?

De AD Server-functie biedt native integratie tussen de Zyxel Firewall en Microsoft Active Directory door de firewall toe te laten treden tot het Active Directory-domein als een domeinlid. Dit vereenvoudigt gebruikersauthenticatie en stelt de firewall in staat rechtstreeks met het domein te communiceren.

Na het joinen van het domein kan de firewall Active Directory-gebruikers en -groepen gebruiken in Security Policy-regels, waardoor het beheer van lokale gebruikersaccounts overbodig wordt en de toegangscontrole eenvoudiger wordt.

Stap 1 – Bereid de Active Directory-omgeving voor

Voordat u de Zyxel Firewall configureert, moet u ervoor zorgen dat uw Active Directory-omgeving klaar is voor domeinintegratie.

De firewall heeft nodig:

• Een bestaand Active Directory-domein.
• Een Domain Controller die bereikbaar is vanaf de firewall.
• DNS geconfigureerd zodat de firewall het Active Directory-domein en de Domain Controller kan resolven.
• Een domeinaccount met toestemming om apparaten aan het Active Directory-domein toe te voegen (bijvoorbeeld een Domain Administrator-account).

Controleer of de Domain Controller toegankelijk is vanaf de firewall en noteer de volgende informatie, die nodig zal zijn tijdens de configuratie:

Stap 2 – Configureer de AD Server

Na het voorbereiden van uw Active Directory-omgeving, configureert u de AD Server op de Zyxel Firewall.

1. Ga naar User & Authentication > User Authentication.
2. Klik onder de sectie AD Server op Toevoegen.
3. Configureer de AD Server met de volgende instellingen.

Klik op Toepassen om de configuratie op te slaan.

Opmerking: Het veld Bind DN Base is geïntroduceerd in uOS 1.35 en stelt de firewall in staat authenticatieaccounts te vinden die zijn opgeslagen in aangepaste Organizational Units (OUs). Als het account zich in de standaard CN=Users container bevindt, is dit veld niet vereist.

Stap 3 – Voeg de firewall toe aan het Active Directory-domein

Na het configureren van de AD Server kunt u de firewall toevoegen aan het Active Directory-domein.

1. Ga naar User & Authentication > User Authentication.
2. Selecteer de geconfigureerde AD Server.
3. Klik op Join Domain.
4. Controleer de weergegeven domeininformatie.
5. Voer de inloggegevens in van een domeinaccount met toestemming om apparaten aan het Active Directory-domein toe te voegen (bijvoorbeeld een Domain Administrator-account).

Klik op Toepassen.

De firewall zal proberen lid te worden van het Active Directory-domein met de opgegeven inloggegevens.

Als de bewerking succesvol is, toont de kolom Join Domain een groen statuspictogram, wat aangeeft dat de firewall succesvol lid is geworden van het Active Directory-domein.

Opmerking: Het account dat wordt gebruikt om de firewall aan het domein toe te voegen, moet toestemming hebben om apparaten toe te voegen aan het Active Directory-domein. Standaard kan een Domain Administrator-account worden gebruikt.

Stap 4 – Controleer de firewall in Active Directory

Nadat de firewall succesvol lid is geworden van het Active Directory-domein, wordt er automatisch een computerobject aangemaakt in Active Directory.

Om te controleren of de firewall succesvol is toegevoegd:

1. Open Active Directory Users and Computers.
2. Vouw uw Active Directory-domein uit.
3. Open de container Computers (of de Organizational Unit waar nieuwe computerobjecten worden aangemaakt).
4. Controleer of de firewall verschijnt als een Computer-object.

U kunt ook de Eigenschappen van het object openen om details te controleren zoals de computernaam en DNS-naam.

De aanwezigheid van het computerobject bevestigt dat de firewall succesvol lid is geworden van het Active Directory-domein.

Opmerking: Standaard worden nieuwe computerobjecten aangemaakt in de Computers container, tenzij uw Active Directory-omgeving is geconfigureerd om ze door te sturen naar een andere Organizational Unit (OU).

Stap 5 – Valideer de AD Server-configuratie

Nadat de firewall succesvol lid is geworden van het Active Directory-domein, valideert u de AD Server-configuratie om te controleren of de communicatie met Active Directory correct werkt.

1. Ga naar User & Authentication > User Authentication.
2. Bewerk de eerder geconfigureerde AD Server.
3. Scroll naar beneden naar de sectie Configuration Validation.
4. Voer de gebruikersnaam in van een bestaande Active Directory-gebruiker.
5. Klik op Test.

Als de validatie succesvol is, toont de Test Status OK, en de sectie Returned User Attributes toont de LDAP-attributen die uit Active Directory zijn opgehaald.

Een succesvolle validatie bevestigt dat:

• De firewall kan communiceren met de Domain Controller.
• De firewall kan authenticeren bij Active Directory.
• Active Directory-gebruikersinformatie succesvol kan worden opgehaald.

Opmerking: Als de validatie mislukt, controleer dan de connectiviteit met de Domain Controller, DNS-configuratie, domeinreferenties en zorg ervoor dat de opgegeven gebruiker bestaat in Active Directory.

Stap 6 – Controleer Active Directory-authenticatie

Om de AD Server-configuratie te verifiëren, configureert u de Remote Access VPN om de AD Server te gebruiken voor authenticatie en test u de verbinding.

1. Ga naar VPN > IPSec VPN > Remote Access VPN.
2. Selecteer de geconfigureerde AD Server als de Primaire Server.
3. Klik op Download om het VPN-configuratiescript te downloaden.
4. Importeer de configuratie in de SecuExtender VPN Client.
5. Verbind met de VPN met een Active Directory-gebruikersaccount.

Best practice voor multi-site Active Directory-implementaties

In omgevingen met meerdere Active Directory-sites of meerdere Domain Controllers, configureer een Domain Zone Forwarder zodat de firewall het Active Directory-domein via de lokale Domain Controller oplost. Dit helpt de authenticatieprestaties en betrouwbaarheid te verbeteren, omdat de firewall niet automatisch Active Directory DNS-verwijzingen of replicatietopologie volgt.