LINUX.ORG.RU
решено ФорумAdmin

OpenVPN + LDAP (Windows AD) = КАК?


0

2

Здравствуйте коллеги,
пытаюсь настроить авторизацию пользователей OpenVPN в Active Directory через штатный plugin openvpn-auth-ldap столкнулся со следующей проблемой:

" LDAP user «domain\test» was not found."

учетные данные -верные, предположительно ошибка в SearchFilter

------------
<LDAP>
URL ldap://192.168.1.8
BindDN CN=ldap2,OU=Users,OU=Organizations,DC=domain,DC=local
Password 123123123
Timeout 15
TLSEnable no
FollowReferrals yes
TLSCACertFile /usr/local/etc/ssl/ca.pem
TLSCACertDir /etc/ssl/certs
TLSCertFile /usr/local/etc/ssl/client-cert.pem
TLSKeyFile /usr/local/etc/ssl/client-key.pem
</LDAP>

<Authorization>
BaseDN «OU=Organizations,DC=domain,DC=local»
SearchFilter «sAMAccountName=%u»
RequireGroup false
</Authorization>
------------

ps: к AD binding успешно проходит
pps: openvpn через сертификаты успешно работает

подскажите в каком направлении копать?

Ответ на: комментарий от zgen

спасибо, прочитал,

сделал следующий фильтр:
SearchFilter "(&(objectCategory=person)(objectClass=user)(cn=%u))"


но по прежнему пишет:
" LDAP user «test» was not found."

зависит ли что-нибудь от BASEDN?
у меня используются OU, т.е. все пользователи раскиданы по вложенным «папкам»

указываю в качестве BASEDN OU самого верхнего уровня, внутри которого и лежат пользователи...

neomag ()
Ответ на: комментарий от neomag

вообщем все заработало,

проблема была в неправильных SearchFilter и BaseDN

весьма помог инструмент http://www.ldapadministrator.com/
которым можно визуально ходить по LDAP
основной метод - найти по имени любого пользователя, которому положен доступ и вписать правильное параметры

в моем случае это выглядело так:
BaseDN «OU=Organizations,DC=domain,DC=local»
т.к. все учетки лежат внутри OU Organizations

SearchFilter "(&(objectCategory=person)(objectClass=user)(sAMAccountName=%u)(memberOf=CN=VPN users,OU=Groups,DC=domain,DC=local))"


т.к. все пользователи которым нужен доступ включены в группу VPN users

RequireGroup false
т.к. все решается через searchfilter

zgen: спасибо за наводку.

neomag ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.