integracao edgebox com ad

Manual de Integrao do EdgeBox com Active DirectoryJulho 2009

Lisboa, 2009-07-15 Antnio Pedro Santos

PT Prime - Solues Empresariais de Telecomunicaes e Sistemas, SA Av. Fontes Pereira de Melo, n40 1069-300 Lisboa Portugal N Pessoa Colectiva 502 840 757 Capital Social 30.000.000 Mat. n 08537, CRC Lisboa 4seco

ndice1 1.1 1.2 1.3 1.4 2 3 4 5 6 7 8 Introduo Integrao do Active Directory .................................................................................3 Desenho de Rede ........................................................................................................................5 Cenrios de Integrao EdgeBox Active Directory...........................................................6 Processo de Autenticao Genrico, por Tipo de Cenrio .........................................................8 Processo de Autenticao Genrico, por Tipo de Sistema Operativo ......................................12 Work-Flow de Integrao ............................................................................................................15 Adaptao da Rede PT ao(s) Active Directory(s) ........................................................................16 Configurao do EdgeBox ...........................................................................................................17 Testar Login no EdgeBox ............................................................................................................19 Criao de OUs, Grupos e Utilizadores ......................................................................................20 FAQs: ..........................................................................................................................................26 Utilitrios: ....................................................................................................................................28


1 Introduo Integrao do Active DirectoryPara iniciar a Integrao do(s) ActiveDirectory(s) com o EdgeBox deve iniciar por: 1 Backup dos PCs no Domnio Antigo: Para migrar o(s) seu(s) Active Directory(s) em produo ter que mudar o(s) endereo(s) IP do(s) mesmo(s), o que normalmente significa que todos os PCs do Domnio perdero a relao de trust com o domnio, significando por isso que dever salvaguardar os dados dos utilizadores antes de migrar os PCs para o novo Domnio. 2 Tendo compreendido o passo anterior, compreender que ter que Reinstalar o Active Directory. Um dos problemas apresentados na Integrao de mltiplos Active Directorys com o EdgeBox prende-se com o facto do EdgeBox apenas poder fazer join (registar-se) a 1 Domnio, sobre o qual efectuar 2 tipos de pedidos distintos: 1. Pedidos de Autenticao de Utilizadores (AUTH). **1 2. Pedidos de Buscas (LDAP) para pesquisa de Utilizadores e Grupos.**1 - A pesquisa LDAP serve apenas para devolver o grupo ao qual o utilizador pertence durante o processo de autenticao.

Para reinstalar o Active Directory poder escolher uma de 3 abordagens: AB1- Instalar o(s) Servidor(es) de Active Directory com o CD original do Sistema Operativo (mais aconselhvel) Com esta abordagem possvel, mantendo uma nica forest e criar novos subdomnios dentro da mesma:

No caso de mltiplos domnios, criando Universal Groups correspondente aos perfis dos utilizadores e usando pedidos ao Global Catalog do domnio principal, poder-se- efectuar os 2 tipos de pedidos (AUTH + LDAP) a apenas 1 dos Active Directorys (escola1.local). Este ambiente encontra-se testado e a funcionar em ambiente de testes no Piloto, sendo possvel replicar qualquer problema que surja.


AB2- Instalar o(s) Servidor(es) de Active Directory usando o CD de Instalao da Microsoft LNM (menos aconselhvel), pois esta opo permite-lhe a criao de apenas dois domnios independentes com florestas independentes.

Aps a criao da 2 floresta independente no ser possvel migrar o 2 domnio para um subdomnio dentro da floresta principal, e assim, com esta configurao, no ser possvel nem efectuar pedidos de (LDAP) nem de (AUTH) ao segundo domnio a no ser que se crie uma relao de trust entre florestas.

Ainda assim no ser possvel efectuar pedidos de (LDAP) sobre os domnios 2s, apenas pedidos de Autenticao (AUTH), mesmo que se usem Universal Groups dentro dos dois domnios. Assim para resolver esse problema, ser necessrio replicar os utilizadores dos 2s Domnios para dentro do 1 podendo os mesmos ficar desactivados, uma vez que para o efeito pretendido, apenas necessitamos que estejam dentro do seu respectivo grupo, tornando-se assim desnecessria a criao dos Grupos de utilizadores nos Domnios 2s.

Este ambiente no foi testado com o CD do LNM, mas sim com o CD Original do Windows estando a funcionar em ambiente de testes no Piloto, no possvel replicar qualquer problema que surja com a instalao e funcionalidades previstas pelo CD do LNM, por este facto ser desaconselhvel esta abordagem. AB3- Reconfigurar o Active Directory para integrar o mesmo (desaconselhvel), significa que ir acontecer o mesmo que no ponto anterior mas com a agravante de no ter configurado o seu IP 10.1.2.251 nas GPOs e no Servidor de DNS por defeito, sendo necessrio reconfigurar o sistema sem a garantia de ter sido testado em Piloto. No far parte deste manual.PT Prime - Solues Empresariais de Telecomunicaes e Sistemas, SA Av. Fontes Pereira de Melo, n40 1069-300 Lisboa Portugal N Pessoa Colectiva 502 840 757 Capital Social 30.000.000 Mat. n 08537, CRC Lisboa 4seco

1.1 Desenho de Rede


1.2 Cenrios de Integrao EdgeBox Active Directory


Cenrio A: Sem Active Directory na rede. Gesto de Grupos/Perfis Associao a VLAN Gesto de Users Autenticao de Passwords

(EdgeBox) User(EdgeBox) Perfil(EdgeBox) Vlan (EdgeBox) (EdgeBox)

Cenrio B: (Users Geridos no EdgeBox e AD) Forest 1+ Forests (Domnios dentro da mesma Forest) ou (Domnios Separados c/ Trust) AD 1 AD 2+ ADs Gesto de Perfis (EdgeBox) Perfis (EdgeBox) Grupos/Perfis Associao a User(EdgeBox) Perfil (EdgeBox) Vlan User(EdgeBox) Perfil (EdgeBox) Vlan VLAN Gesto de Users (EdgeBox e AD) (EdgeBox e AD) Autenticao de (1 AD) (2+ ADs) Passwords Cenrio C: Users Geridos dos ADs Forest 1 Forest (Domnios dentro da mesma Forest) AD 1 AD 2+ ADs Gesto de 1 AD Grupos de Utilizadores = Perfis (EdgeBox) 2+ ADs Grupos de Utilizadores = Perfis (EdgeBox) Grupos/Perfis Associao a User(1 AD) Grupo = Perfil (EdgeBox) Vlan User(2+ ADs) Grupo = Perfil (EdgeBox) Vlan VLAN Gesto de Users (1 AD) (2+ ADs) Autenticao de (1 AD) (1 AD) (2+ ADs) Passwords Forest AD Gesto de Grupos/Perfis Associao a VLAN Gesto de Users Autenticao de Passwords +1 Forests (Domnios Separados c/ Trust) 1 AD 1 AD Grupos de Utilizadores = Perfis (EdgeBox) User(1 AD) Grupo = Perfil (EdgeBox) Vlan (1 AD) (1 AD) 2+ ADs 1 AD Grupos de Utilizadores = Perfis (EdgeBox) (2+ ADs) = User Bloqueado(1 AD) Grupo (1 AD) = Perfil (EdgeBox) Vlan (1 AD) e (2+ ADs) (1 AD) (2+ ADs)


1.3 Processo de Autenticao Genrico, por Tipo de Cenrio





1.4 Processo de Autenticao Genrico, por Tipo de Sistema Operativo




2 Work-Flow de Integrao


3 Adaptao da Rede PT ao(s) Active Directory(s)Ser necessrio efectuar uma alterao relativa configurao do Switch principal da rede da escola assim que se pretenda activar o Active Directory na rede de forma a alterar as seguintes configuraes: 1. 2. DNS entregues aos PCs 194.65.3.20 + 194.65.100.117 para 10.1.2.251 Aplicar Permisses que alterem a matriz de conectividade para permitir que Convidados / Alunos / Professores / Administrativos acedam ao(s) Active Directory(s) da escola.

Compreende-se assim que o Active Directory principal da rede ter ser configurado para responder a pedidos de DNS da rede interna, e fazer forward de pedidos para os DNSs da PT 194.65.3.20 + 194.65.100.117.


4 Configurao do EdgeBox1 Configurar o EdgeBox em: https://10.1.2.252/ Configurao Active Directory Configurar P.S.: para mais informaes para acesso ao EdgeBox, veja o manual do mesmo. Seleccione o Domnio, o Tipo de AD (win2000 ou win2003), para AD 2008 ter que pedir Microsoft o downgrade da verso para 2003. 2 Se optou pelo Cenrio B dever configurar da seguinte forma:

Clique em Aplicar. Um Join com sucesso ao domnio apresenta-se com o texto:

Ter agora que replicar todos os utilizadores do(s) Active Directory(s) criados para dentro do EdgeBox, associando-lhes o Perfil respectivo, se quiser poder importar via .CSV, como explicado no manual do radius.

3 Se optou pelo Cenrio C dever configurar da seguinte forma:

Clique em Aplicar. Um Join com sucesso ao domnio apresenta-se com o texto:


4 No Cenrio C dever remover o Perfil DEFAULT, no menu: Gesto Perfis Remover Perfil

Premir em Aplicar:

5 Crie novamente o Perfil DEFAULT, no menu: Gesto Perfis Novo Perfil com a Vlan 5

Premir em Aplicar:


6 Crie agora todos os perfis de utilizadores no menu: Gesto Perfis Novo Perfil Professores : VLAN 2 Alunos : VLAN 3 Administrativos : VLAN 4 Convidados : VLAN 5 Os nomes destes Perfis tm que corresponder exactamente ao nome dos Grupos a serem criados no Windows. P.s.: O Nome Guests privilegiado no Windows, por essa razo o nome foi substitudo pelo Convidados.

5 Testar Login no EdgeBox1 Configurar o EdgeBox em: https://10.1.2.252/ Configurao Testar Conectividade do Utilizador P.S.: Para mais informaes para acesso ao EdgeBox, veja o manual do mesmo. Introduza o username e password que criou, e pressione em Executar Teste.

O resultado com sucesso retornar:

Note que est a ser retornada a VLAN 3, que corresponde vlan de Alunos, isto confirma que o utilizador recebeu a VLAN. Note tambm a informao Access-Accept, validou que o utilizador existe e a password est correcta. A informao vir como Access-Reject, para o caso de invalidao do utilizador e password.


6 Criao de OUs, Grupos e UtilizadoresPara o caso de ter optado Seleccionado o Cenrio C ter que proceder seguinte configurao: 1 Abra o Active Directory Users and Computers em: Start Programs Administrative Tools 2 Pressione com o Boto Direito do Rato por cima do Nome do Domnio: New Organizational Unit

3 Escreva o Nome da Organizational Unit para a escola, onde sero criados os grupos e os utilizadores. Ex:

Pressione em: OK e .


4 Pressione com o Boto Direito do Rato por cima do Nome da OU Criada: New Organizational Unit

Repita este 4 passo para criar as seguintes Organizational Units: __GruposEscola__ _Alunos_ _Professores_ _Convidados_ _Administrativos_ No final pressione a tecla . 5 Criao dos Grupos: Pressione com o Boto Direito do Rato por cima do Nome da OU __GruposEscola__: New Groups


Repita este 5 passo para criar os seguintes Grupos: Alunos Professores Convidados Administrativos No final pressione a tecla . Ser agora exemplificada a criao de utilizadores: 6 Criao dos Utilizadores: Pressione com o Boto Direito do Rato por cima do Nome da OU _Administrativos_: New User

Next.

Finish.

Add Members to a Group:

Administrativos: OK.


No Final das configuraes dos Utilizadores o seu AD Primrio dever-se- parecer algo com:

Pertence ao Grupo dos: Administrativos

Pertence ao Grupo dos: Alunos

Pertence ao Grupo dos: Convidados

Pertence ao Grupo dos: Professores

Nota: Os nomes dos Grupos correspondem exactamente os nomes dos Perfis criados no Active Directory. 7 Se optou pela Abordagem AB1, dever repetir os passos acima descritos para os restantes domnios, e no efectue o passo seguinte


8 Se optou pela Abordagem AB2 dever efectuar o seguinte: Nos ADs 2+ Criar as OUs para os Utilizadores:

Crie os utilizadores nos ADs 2+:


No AD Primrio crie os mesmos utilizadores (que podero estar bloqueados) e associe os mesmos aos respectivos Grupos:

O utilizador: administrativo2 membro do grupo : Administrativos

O utilizador: aluno2 membro do grupo : Alunos

O utilizador: convidado2 membro do grupo : Convidados

O utilizador: professor2 membro do grupo : Professores P.S.: Se optou pela Abordagem AB1 (no teve que criar Trusts entre Domnios, e os Domnios esto sincronizados, ver: 4.3 Confirmar sincronismo do 1 e 2+ Domnios ) no ter que este 7 passo.


7 FAQs:- Como configurar NTP para Windows 2003? - Quando estou a fazer Join ao Domnio no EdgeBox aparece-me a informao de que a hora do sistema no est actualizada. Soluo: O NTP um protocolo de sincronizao de relgio do sistema, uma vez que o processo de autenticao que decorre entre o EdgeBox e o ActiveDirectory tem como base encriptadora a hora do sistema, os relgios no podero estar desfasados mais do que 5 minutos para que a autenticao de utilizadores, e o Join ao Domnio sejam efectuados com sucesso w32tm /configure /manualpeerlist:10.1.2.254 /syncfromflags:manual /update net stop w32time net start w32time w32tm /resync /rediscover - Como configurar NTP para Windows 2000? net time /setsntp:10.1.2.254 net stop w32time net start w32time w32tm -v -once - O meu Servidor Windows no consegue aceder ao site do Windows Update. Soluo: Ser necessrio adicionar aos trusted sites do Internet Explorer os seguintes registos: http://update.microsoft.com https://update.microsoft.com http://*.update.microsoft.com https://*.update.microsoft.com http://*.windowsupdate.microsoft.com https://*.windowsupdate.microsoft.com http://*.windowsupdate.com https://*.windowsupdate.com http://*.microsoft.com https://*.microsoft.com Ser necessrio alterar as polticas de segurana dos trusted sites passando o que estiver a disable para prompt. Verifique o DNS da placa de rede do servidor: dever ser 127.0.0.1. Verifique se o servio DNS Client e o DNS Server esto iniciados. - Mudei o DNS da placa de rede do meu servidor e no consigo voltar ao 127.0.0.1. Soluo: Limpe o DNS, confirme com OK

OK, OK E Reinicie o servidor.


- O meu utilizador depois de autenticado recebe sempre IPs na vlan 5 dos Convidados / Guest / DEFAULT (10.1.3.X). Soluo: Este problema mais comum no Cenrio C quando o utilizador se encontra num AD secundrio em trust com o Primrio. Neste caso ter que criar um utilizador bloquado no primrio com o mesmo nome do secundrio, e adicionar o utilizador ao grupo correspondente. - No consigo efectuar o Join ao Domnio. Problemas mais comuns: - No criou o Domnio com (.local): escola.local Soluo: Criar o domnio de novo. (ver Criao de Domnios) - O seu browser apresenta-lhe a Pasta da Configurao Avanada por baixo da Configurao Bsica (no EdgeBox) em vez de lhe aparecer como um sub-menu. Soluo: Utilize outro Browser para configurar o Join ao Domnio ou actualize o seu browser. (autentique-se como Administrativo num outro PC da rede) - Quando estou a fazer Join ao Domnio no EdgeBox aparece-me a informao de que a hora do sistema no est actualizada Soluo: (ver FAQ, a parte do NTP). - Quando estou a instalar o domnio aparece-me uma mensagem que o SID est duplicado. Soluo: Este problema s acontece quando efectuou um cpia integral do sistema operativo com o Ghost, ou outro software. Poder mudar o SID (http://technet.microsoft.com/enus/sysinternals/bb897418.aspx) do AD e repetir o dcpromo. - No consigo efectuar login com o meu utilizador. Soluo: Testes a efectuar: 1 Verificar se o utilizador e a password est criado e a password correcta. 2 Verificar se o utilizador se encontra associado a um grupo. 3 Efectuar teste de login no EdgeBox (explicado em: 5 Criao de OUs, Grupos e Utilizadores) 4 Verificar se o Estado do Servidor no EdgeBox est Activo. 5 Verificar se o Active Directory est em estado Join com sucesso (se usar AD). - Estou a receber mensagens de Erro: Error: /etc/raddb/proxy.conf[38]: Failed looking up hostname local. No EdgeBox e o Estado do Servidor est em Inactivo. Soluo: Verifique as configuraes dos Realms e rectifique todos os realms nas Servidor de Autenticao e Servidor de Acct., passando os mesmos de local para LOCAL. - Aps efectuar login ao Domnio com o meu utilizador aparece-me a informao de (Login errado na placa de rede). Soluo: Confirmar se est a introduzir o seu nome de utilizador com minsculas ou maisculas (confirmar com o Administrador como foi criado o utilizador), se o utilizador criado aluno no poder efectuar login com Aluno. Os Caracteres especiais tambm no so permitidos uma vez que no so reconhecidos pelo EdgeBox. - Os Utilizadores entram na rede e no esto a receber as GPOs, no estando a executar os logon scripts. Soluo: http://www.mtghouse.com/products/appnotes/GPO_scripting_problems_080105.pdf http://support.microsoft.com/default.aspx?scid=kb;en-us;840669


8 Utilitrios:Windows 2000: Windows 2000 Service Pack 4 Network Install for IT Professionals http://www.microsoft.com/Downloads/thankyou.aspx?familyId=1001aaf1-749f-49f4-8010297bd6ca33a0&displayLang=en Update for BITS 2.0 http://www.microsoft.com/downloads/thankyou.aspx?familyId=3ee866a0-3a09-4fdf-8bdbc906850ab9f2&displayLang=en&hash=nNDu%2frvM8IyCMMQaGFCEXe%2bBlKjyMRR1jDq8jOvzm t5UKj5HEOk3GL%2bNnGtHZgzwQFzwLUT5LqS9Qb35SI5bLw%3d%3d Windows 2000 Service Pack 4 Support Tools: http://www.microsoft.com/Downloads/details.aspx?familyid=F08D28F3-B835-4847-B810BB6539362473&displaylang=en

Windows 2003: Windows 2003 Service Pack 1 Support Tools: http://www.microsoft.com/downloads/details.aspx?FamilyId=6EC50B78-8BE1-4E81-B3BE4E7AC4F0912D NTP Client para Sistemas Operativos que no suportam NTP nativo Cisco:

Domain rename: http://download.microsoft.com/download/5/6/d/56df978b-9a76-487e-80b70250289f2579/domainrename.exe


integracao edgebox com ad

Documents