unbekannternr1
Feb 01, 2017
view2810
view8
0
Goto Top

LDAP-RADIUS Authentifizierung VPN bei abgelaufenen Kennwort.

GermanQuestionMicrosoft
Hallo,
Ich versuche gerade für VPN Nutzer LDAP Authentifizierung zu realisieren über OpenVPN. Funktioniert auch generell ohne Probleme.
Wenn ich einen User allerdings zwinge das Kennwort zu ändern oder es abläuft kann er das natürlich über VPN nicht tun.
Er kann die Verbindung gar nicht erst aufbauen. Weil LDAP oder RADIUS den User nicht authentifiziert.
Gibt es eine Möglichkeit dieses zu ermöglichen? Er weiß ja Kennwort ist korrekt nur halt abgelaufen und er ihn trotzdem zulässt?

Zur info ich nutze als Endpunkt pfSense. Und windows Server2008 R2 Domain.

Danke schon mal fürs lesen.
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 328113

Url: https://administrator.de/contentid/328113

Printed on: April 25, 2024 at 10:04 o'clock

8 Comments
Latest comment
Goto Top
Mitglied: 132272
132272 Feb 01, 2017 updated at 10:48:15 (UTC)
Goto Top
Computer- /Userzertifikate für die Authentifizierung im VPN nutzen face-wink

Gruß nachfrage
Member: UnbekannterNR1
UnbekannterNR1 Feb 01, 2017 at 10:56:17 (UTC)
Goto Top
Nutzen wir auch, es ist ein doppeltes verfahren gewünscht. Geplant (SSL/TLS + UserAuth)
Mitglied: 132272
132272 Feb 01, 2017 updated at 11:01:19 (UTC)
Goto Top
Self Service Password Reset Tools
Member: Dani
Dani Feb 01, 2017 at 19:56:29 (UTC)
Goto Top
Moin,
Zitat von @132272:

Self Service Password Reset Tools
sowas kannst du ganz leicht mit ADFS + Webapplikationsproxy nachbauen. Vorausgesetzt die Windows Server Lizenzen sind vorhanden. face-smile


Gruß,
Dani
Member: UnbekannterNR1
UnbekannterNR1 Feb 01, 2017 at 20:03:30 (UTC)
Goto Top
Die Idee ist Cool. Aber ist es aus Sicherheitssicht sinnvoll? Und gibt es evtl. Irgendwo nen TUT?
Member: Dani
Dani Feb 01, 2017 at 20:32:00 (UTC)
Goto Top
Die Idee ist Cool. Aber ist es aus Sicherheitssicht sinnvoll?
In welchen Zusammenhang?

Und gibt es evtl. Irgendwo nen TUT?
Bestimmt... ich halte mich immer ans Microsoft Technet.


Gruß,
Dani
Member: UnbekannterNR1
UnbekannterNR1 Feb 02, 2017 at 07:22:23 (UTC)
Goto Top
Zitat von @Dani:

Die Idee ist Cool. Aber ist es aus Sicherheitssicht sinnvoll?
In welchen Zusammenhang?

Im Zusammenhang IT-Sicherheit weil es wäre ja ein Webservice der mehr oder weniger auf unser AD zugreift.

Ich hätte das jetzt so verstanden


WEBPROXY > HTTPServer > AD Server
 WAN         DMZ          LAN
Member: Dani
Dani Feb 03, 2017 at 17:33:39 (UTC)
Goto Top
Ich hätte das jetzt so verstanden
Fast, Internet -> WebAppProxy -> ADFS -> DC(s).

Im Zusammenhang IT-Sicherheit weil es wäre ja ein Webservice der mehr oder weniger auf unser AD zugreift.
Was soll den deiner Ansicht nach passieren? Es kann jemand von außen Versuchen für die Konten das Passwort erfolgreich zu ändern. Aber werr konsequent Passwortrichtlinien umsetzt und nach x fehlerhaften Anmeldeversuchen das Konto sperrt hat eigentlich nichts zu befürchten. Des Weiteren muss ein Gast erstmal das Webportal finden, wenn du es nicht gerade auf der Homepage direkt mit Link publizierst. Ihr habt sicher OWA oder Outlook Anywhere veröffentlicht. Ist eigentlich nichts anderes.


Gruß,
Dani
GermanQuestionMicrosoft
Hotly discussed
gleixnerdCheck of ZFW Firewallgleixnerd - 5 CommentsjstrickerWireguard VPN on UDM Pro behind Fritzbox - Handshake did not completejstricker - 3 Comments