NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Аутентификация LDAP-сервера автоматически конфигурируется для работы с использованием
LDAP-аутентификации по BIND-запросу (Bind Request Authentication). Аутентификация проходит
успешно, в случае если соединение с LDAP-сервером установлено, а идентификация отдельных
клиентов в данном случае не имеет значения.
При аутентификации по BIND-запросу не должно возникать перенаправлений с LDAP-сервера. Если
они появляются, то LDAP-сервер воспринимается как недоступный.
Ответы LDAP-сервера
Когда система NetDefendOS посылает запрос LDAP-серверу на аутентификацию пользователя,
возможны следующие варианты:
• Сервер отвечает положительно, и аутентификация пользователя проходит успешно.
Если клиенты используют PPP с CHAP, MS-CHAPv1 или MS-CHAPv2, то это частный
случай, когда аутентификация фактически производится системой NetDefendOS (более
подробно об этом будет сказано далее).
• Сервер отвечает отрицательно, и пользователь не проходит аутентификацию.
• Сервер не отвечает за время тайм-аута, выделенного на ответ серверу. Если определен
только один сервер, то процесс аутентификации завершается. Если для правила
аутентификации пользователя определены альтернативные серверы, то запросы отсылаются
к ним.
Имя пользователя в сочетании с доменным именем
В процессе аутентификации пользователя при вводе комбинации из учетного имени и пароля
некоторым LDAP-серверам требуется доменное имя, чтобы присоединить его к имени пользователя.
Если домен – mydomain.com, то имя пользователя myuser будет определено как
myuser@mydomain.com. Для некоторых LDAP-серверов возможны варианты myuser@domain,
mydomain.com\myuser или mydomain\myuser. Формат записи полностью зависит от настроек
сервера и того, какой формат ему требуется.
Мониторинг статистики в режиме реального времени
Статистика следующих параметров доступа пользователя к LDAP-серверу в процессе
аутентификации доступна в режиме реального времени:
• количество аутентификаций в секунду;
• общее количество запросов на аутентификацию;
• общее количество успешных запросов на аутентификацию;
• общее количество неудачных запросов на аутентификацию;
• общее количество введенных недопустимых имен пользователя;
• общее количество введенных недопустимых паролей.
Команды CLI для LDAP-аутентификации
CLI-объекты, соответствующие LDAP-серверам и используемые для аутентификации, называются
LDAPDatabase-объектами (LDAP-серверы, используемые для поиска сертификатов, называются
LDAPServer-объектами в CLI).
Специальный LDAP-сервер, определенный в системе NetDefendOS для аутентификации, можно
просмотреть с помощью команды:
gw-world:/> show LDAPDatabase
Все содержимое базы данных можно вывести на экран с помощью команды:
gw-world:/> show LDAPDatabase
355