pfSense: Authenticatie via LDAP voor bepaalde groep

[NjitsSs]

Goedemiddag allemaal,


Ik heb zopas een pfSense router/firewall/VPN server geïnstalleerd. Hierop draait OpenVPN.
Daarnaast heb ik een Qnap nas draaien waar een LDAP server op aanwezig is. Deze LDAP wil ik nu ook gebruiken als authenticatie voor de OpenVPN server van pfSense.
OpenVPN controleerd prima de gebruikersnaam en paswoord in de LDAP, maar ik wil enkel VPN toegang toestaan voor leden van een bepaalde groep in de directory. Ik heb hiervoor een groep "vpnusers" aangemaakt.

De gebruikers zitten in ou=people,dc=bedrijf,dc=be. De groepen zitten in cn=vpnusers,ou=group,dc=bedrijf,db=be. Het group membership wordt opgeslagen in de groep zelf door middel van meerdere memberUid attributen.

Zie volgende screenshots voor wat meer detail:






Ik slaag er niet in om pfSense enkel gebruikers van de groep vpnusers toe te laten. Met de instellingen in het laatste screenshot krijgt iedere gebruiker uit de LDAP directory toegang tot de VPN. Ik heb zitten spelen met verschillende extended queries, maar geraak er niet meer wijs uit.

Iemand enige suggesties? Alvast bedankt!

Stijn

[kraats]

Wat gebeurt er als het vinkje bij Extended query aanzet? En daar wellicht MemberOf= weghaalt?

[Hero of Time]

Als bovenstaande niet werkt, ga dan met een Linux of *BSD machine mbv ldapsearch (te vinden in ldap-utils package) na welke query je zou moeten uitvoeren om te krijgen wat je wilt. Wat pfSense uiteindelijk moet doen is kijken of een gebruiker die probeert te verbinden bestaat in de vpnusers groep. Het attribuut MemberOf kan je gebruiken, maar ook andere die erop lijken. Zodra je de juiste query hebt, kan je die in je router gebruiken.

Ik denk dat je als authentication container overigens CN=vpnusers,OU=groepen,DC=bla,DC=be moet gebruiken, maar kan 't mis hebben. Heb geen pfSense waar ik in kan kijken.

[asing]

Eens met beiden hierboven, dat vinkje bij extended query zal wel aan moeten en de query zelf is waarschijnlijk geen query maar een verwijzing naar de groepsnaam. Dus cn=vpnusers, ou=... etc.

[NjitsSs]

Heren, alvast bedankt voor de reacties!

Als ik in het bovenstaande screenshot het vakje bij Extended Query inschakel (zonder te wijzigen wat er ingesteld staat), kan geen enkele gebruiker nog inloggen.

Als authentication container heb ik CN=vpnusers,OU=groepen,DC=bla,DC=be reeds geprobeerd, maar ook dan kon geen enkele gebruiker meer inloggen.

Ik vermoed dat de authentication container wel degelijk OU=people moet zijn, omdat daar de gebruikers in opgeslagen zijn, in de CN=vpnusers,OU=groups, zitten enkel verwijzingen naar deze gebruikers. Ik ben echter nog wat onervaren in het LDAP-wereldje, dus ik kan het mis hebben...

Bedankt voor de ldapsearch tip, ik ga daar wat mee experimenteren.

[asing]

Het lijkt alsof die query toch anders moet... ik mis zoiets:

(&(memberOf=CN=InternetAccess,CN=Users,DC=dzikra,DC=local)(sAMAccountName=%s))