飞塔AD域验证配置手册.docx

设置FortiGate目录服务认证银兴技术支持QQ说明:本文档针对所有FortiGate设备的目录服务配置进行说明。目录服务指FortiGate从AD服务器上取得域用户信息,当用户登录到域时该用户信息会传到FortiGate,从而允许用户访问互联网。即可以实现单点认证功能。当用户不在域时FortiGate则不允许该用户上网。环境介绍:本文使用FortiGate400A做演示。。AD服务器IP: DNS::   DNS::。提示的内容一般不需要更改,一直点击下一步直到安装完成。接着会提示安装DCAgent,继续安装,点击下一步直到安装完成。(点击放大)点击configureFSAE,界面如上图:在Authentication选项下勾选RequireauthenticatedPassword:输入认证密码,该密码必须与下一步目录服务中的密码一致点击Apply或Save&close保存步骤二:配置目录服务在防火墙中配置:设置用户----目录服务,点击新建FortiClientAD:输入一个名称FSAECollectorIP/名称:AD服务器的IP密码:输入密码,与上一步中密码一致    点击OK(点击放大)然后防火墙就会收集到AD服务器上的目录信息,展开可以查看(点击放大)步骤三:配置用户组在设置用户----用户组中点击新建名称:输入一个名称类别:选目录服务成员:可用的用户组组员:选择哪些用户组需要认证,即哪些用户可以上网(点击放大)步骤四:配置策略在防火墙----策略中编辑出网策略,勾选启用基于用户认证的策略,点击添加(点击放大)将创建好的目录服务名称选到被选中的用户组中服务:选择相应的服务时间表:选择一个时间表保护内容表:选择相应的保护内容表        (点击放大)步骤五:说明在AD服务器上FSAE软件的参数:Listeningports监听端口:默认用TCP8000端口与FortiGate通讯,用UDP8002端口与DC代理通讯Timers时间设置:工作站检查时间:FSAE会定时检查登陆的用户是不是还在域上,默认为5分钟不可达主机超时时间:对于登陆到域的主机,但FSAE无法与该主机通讯,默认480分钟后会将改主机从登陆用户中删除IP地址更换检查时间:FSAE会每60秒(默认)检查在域上的主机IP,对于更改IP的主机,monTasks常用工具:ShowServiceStatus:显示FSAE与FortiGate的通讯状态,正常为RUNNINGShowLogonUsers:显示FSAE收集到的在域上用户信息(点击放大)步骤六:验证不在域上的用户不能上网在域上的用户可以上网离开域的用户在离开5分钟后不能上网在防火墙CLI的相关命令:diadebu