单点ldapserver

北京市海淀区北四环西路52号方正国际大厦12层电话:(010)629603765.
0功能概要-FSSO增强版本1.
0时间2013年1月作者Fortinet技术中心(support_cn@fortinet.
com)支持的版本FortiOSv5.
0build147状态已审核北京市海淀区北四环西路52号方正国际大厦12层电话:(010)62960376目录1.
目的.
32.
环境介绍33.
配置.
43.
1配置LDAP.
43.
2配置单点登录(SSO)43.
3配置单点登录策略.
53.
4测试验证.
64.
诊断及调试相关.
6北京市海淀区北四环西路52号方正国际大厦12层电话:(010)629603761.
目的FOS5.
0之前的FSSO支持Agent模式及polling模式,需要在AD服务器上安装Collectoragent或者DCagent.
FOS5.
0起支持无需在AD服务器中安装任何插件实现FSSO的工作模式.
本文就FOS5.
0的FSSO部分增强进行说明.
2.
环境介绍本文使用FortiGateVM,本文使用FOS5.
0build147进行说明.
FSSO在4.
0的模式中需要安装Agent,FortiGate通过TCP8000端口与AD进行交换,5.
0中FortiGate自身将会有进程专门负责原来ADagent的工作,通过LDAP以及445端口获取用户登陆信息.
以下为4.
0及5.
0工作模式示意,对于4.
0下的FSSO配置可以参考如何配置FSSO认证4.
3.
北京市海淀区北四环西路52号方正国际大厦12层电话:(010)629603763.
配置3.
1配置LDAP在用户认证中配置LDAP用于获取用户信息3.
2配置单点登录(SSO)FOS5.
0中支持以下三种单点登录SSO方式.
此例着重说明无需代理安装情况.
1.
活动目录服务器(无需代理安装)2.
Fortinet单点登录代理(4.
0需要安装代理)3.
RadiusSSO(结合radius服务实现单点登录)北京市海淀区北四环西路52号方正国际大厦12层电话:(010)62960376配置LDAPserver后,如果通讯正常,则可以继续选择相应的用户组添加用户组3.
3配置单点登录策略北京市海淀区北四环西路52号方正国际大厦12层电话:(010)629603763.
4测试验证连接后可以查看相应的状态ForiGate将周期的从ldap获取eventlog.
4.
诊断及调试相关以下为相关的诊断及调试命令北京市海淀区北四环西路52号方正国际大厦12层电话:(010)62960376FortiGate-VM#diagdebugenFortiGate-VM#diagdebugauthdfsso需要开启debug以下命令才有输出clear-logonsclearlogoninformationfilterfiltersusedforlistorclearlogonslistlistcurrentlogons#当前已登录用户refresh-groupsrefreshgroupmappingsrefresh-logonsresynclogondatabaseserver-statusshowFSSOagentconnectionstatus#Agent连接状态summarysummaryofcurrentlogonsFortiGate-VM#didefsso-polling/didefssoclientShowFSSOADServerClientsdetailShowFSSOADServerDetail#FSSOsamba连接信息groupShowFSSOADServerGroupsrefresh-groupRefreshFSSOADServerGroupsrefresh-userRefreshFSSOADServeruserssummaryShowFSSOADServerSummaryuserShowFSSOADServerusers查看fssod进程debug信息FortiGate-VM#FortiGate-VM#dideen北京市海淀区北四环西路52号方正国际大厦12层电话:(010)62960376FortiGate-VM#dideappfssod-1#查看fssod进程debug信息FortiGate-VM#[fsso_svr.
c:ldap_get_grp:855]failedtogetldapentriesfordn=nullatldapserver(win2008,10.
1.
0.
18,user(cn=administrator;cn=users;DC=DAN,DC=com))[fsso_svr.
c:ldap_get_grp:855]failedtogetldapentriesfordn=nullatldapserver(win2008,10.
1.
0.
18,user(cn=administrator;cn=users;DC=DAN,DC=com))com))