In Netzwerkstrukturen, bei denen die Benutzerverwaltung von TightGate-Pro per Active Directory (AD) erfolgt, ist es möglich, die von AD erstellten Tickets zu verwenden, um sich damit an Uplink-Proxys zu Authentisieren. Dies natürlich nur, sofern dieser eine Ticket basierte Anmeldung unterstützt. Die nachfolgende Anleitung beschreibt die Voraussetzungen sowie die Vorgehensweise bei der AD-Authentisierung an einem Proxy.
Voraussetzung:
Es werden nur Proxys unterstützt, die als Authentifizierungsprotokoll Kerberos nutzen. Das veraltete NTLM-Protokoll wird nicht unterstützt.
TightGate-Pro muss eine funktionierende AD-Anbindung besitzen.
Die AD-Authentisierung am Proxy erfolgt nur mit dem Browser Mozilla Firefox. Der optionale Browser Chrome kann für eine Proxy-Authentisierung derzeit nicht verwendet werden.
Damit die AD-Authentisierung am Proxy erfolgreich ist, muss der Browser Mozilla Firefox direkt mit dem Proxy kommunizieren. Das bedeutet, dass TightGate-Pro nicht protokollieren und auch nicht filtern kann/darf, da beides über einen internen Proxy erfolgt.
Jede Benutzerkennung, die sich am Proxy per AD-Ticket autorisieren soll, muss in der AD-Sicherheitsgruppe tgunfiltered sein.
Im AD muss für den Computer-Account von TightGate-Pro die Kerberos-Delegierung für Tickets erlaubt sein.
So geht's:
Anmeldung am TightGate-Pro als Administrator config und Aufruf des Menüpunkts Proxy.
Den Menüpunkt
HTTP-Proxy auswählen und den Namen des Proxys eingetragen, an dem die AD-Authentisierung erfolgen soll.
Achtung: Es muss der Name des Proxys verwendet werden und dieser muss auflösbar sein. Das Verwenden einer IP-Adresse wird nicht funktionieren.
In den Menüpunkt
HTTP-Proxy-Port den Port eintragen, über den der Proxy angesprochen wird.
In den Menüpunkt
HTTP-Proxy-Netz die IP-Adresse des Proxys eintragen. Falls mehrere Proxys verwendet werden, ist das Proxy-Netz in der Form IP/Valid Bits anzugeben.
In den Menüpunkt Proxy-Ausnahmen zwei Ausnahmen eintragen. Einerseits die IP des Proxys und als Zweites den Namen des Proxys eintragen. Es ist unbedingt notwendig die IP-Adresse und den Namen des Proxys als Ausnahmen zu definieren.
Bei dem Menüpunkt AD/Kerberos-Proxy-Anmeldung ist Ja auszuwählen.
In den Menüpunkt
AD/Kerberos-Proxy-Service den Wert
HTTP eintragen, es sei denn, es wird ein anderer Service verwendet.
In den Menüpunkt AD/Kerberos-Proxy-Realm ist der REALM des Proxys einzutragen, sofern er sich vom REALM des AD unterscheidet. Andernfalls kann das Feld leer gelassen werden.
Abschließend die Einstellungen Speichern und Anwenden.
Fertig.