[Tutorial] Integração com o Active Directory ou Samba4

Usar tag [Video] [Tutorial]
Avatar do usuário
marceloleaes
Administrator
Administrator
Mensagens: 1516
Registrado em: 10 Jun 2013 12:45
Localização: Novo Hamburgo
Idade: 41
Contato:
Status: Offline

[Tutorial] Integração com o Active Directory ou Samba4

Mensagem por marceloleaes »

Neste tutorial vamos abordar a questão da integração do Endian com o Active Directory ou Samba4 através de NTLM.
É isso mesmo que você leu ! A nova versão do Samba também suporta autenticação integrada usando o protocolo NTLM.

Pau na máquina ?

1 - O primeiro passo é criar uma entrada no Hosts do Endian apontando para o controlador de dominio. Acesse o webadmin e na aba Rede adicione a entrada host como no exemplo abaixo

Imagem

2 - Próximo passo é configurar o método de autenticação, vá até a aba Proxy -> Autenticação e selecione Active Directory do Windows ( NTLM ) , informe os campos Dominio de autenticação, Nome do dominio do servidor AD, Nome do servidor primário do AD ( PDC ), Endereço IP do servidor PDC do AD. Demais campos podem ficar em branco e com os seus valores padrão. Preencha e clique em Salvar.

Imagem

3 - Agora clique no botão Ingressar no Dominio. Informe o usuário com privilégios de Administrador do Dominio , ou no caso do Samba4 o usuário Administrator , insira sua senha e mande ingressar. Pronto, seu Endian agora faz parte de seu dominio.

4 - Agora precisamos definir filtros de conteúdo para os grupos do AD , recomendo a criação de três grupos, que são: Proxy-Restrito ( não tem acesso a nada, apenas a dominios permitidos pela diretoria ) , Proxy-Parcial ( Tem acesso semi liberado, acesso ao google e diversos serviços mas com bloqueios definidos pela diretoria ) e Proxy-Livre ( Usuários privilegiados que podem acessar tudo ).

Acesse a aba Filtro de Conteúdo dentro do menu proxy e crie os 3 grupos necessários conforme mostra a imagem:

Imagem

Agora crie estes grupos em seu controlador de dominio e insira os usuários em seus respectivos grupos.

5 - Próximo passo é criar as politicas de acesso. Perceba que criamos três grupos de content filter para que cada grupo tenha seus devidos bloqueios e acessos unicos. Nos baseando nos content filters agora vamos criar as ACLS necessárias para cada um destes grupos. Acesse a aba Politica de acesso, e insira uma nova regra

Imagem

O resumo da regra é a seguinte: Vindo da rede local, com destino qualquer dominio na internet, com autenticação baseada em grupos, pertencente ao grupo Proxy-Restrito, tem acesso liberado passando pelo Filtro de conteúdo Proxy-Restrito. Perceba mais uma vez que quem define o que o usuário pode ou não acessar é o filtro de conteúdo. Os bloqueios devem ser feitos nele. Como este é o grupo restrito vamos utilizar um coringa para bloquear acesso a qualquer dominio e liberaremos dois dominios que seriam essenciais para o trabalho dos usuários que pertencem a este grupo. O coringa de bloqueio é ** inserido na Blacklist e as liberações são os dominios minhaempresa.com.br e correios.com.br inseridos na Whitelist. Com isto os usuários deste grupo não acessam absolutamente nada a não ser os dois dominios que foram especificados e liberados. Veja no exemplo:

Imagem

6 - Agora, entendendo o conceito das ACLS, crie para o restante dos filtros de conteúdo. Você pode aproveitar o filtro de conteúdo Default e colocar como ultima regra, negando todo o acesso para quem não se autenticar. Lembre que o Endian vai ler as regras de cima para baixo, organize de uma maneira que fique fácil compreender depois.

Imagem

7 - Tudo pronto ! Agora seu endian já irá autenticar os usuários automaticamente. Mas para tal, você deve alterar as regras de saida em Firewall nas portas 80 e 443 como DROP ao invés de PERMITIR. Forçando os usuários a usarem o proxy definido em seus navegadores. A automação do processo para configurar os navegadores será abordado em outro tutorial.

Bom proveito !
Editado pela última vez por marceloleaes em 12 Jun 2013 12:08, em um total de 1 vez.


"Transportai um punhado de terra todos os dias e fareis uma montanha." Confúcio

jdfaria21
Newbie
Newbie
Mensagens: 10
Registrado em: 10 Mar 2014 12:58
Status: Offline

Re:[Tutorial] Integração com o Active Directory ou Samba4

Mensagem por jdfaria21 »

Devo ser um azarado, o meu não funcionou. Ao clicar no botão para ingressar no domínio da erro e não autentica. =(

Avatar do usuário
marceloleaes
Administrator
Administrator
Mensagens: 1516
Registrado em: 10 Jun 2013 12:45
Localização: Novo Hamburgo
Idade: 41
Contato:
Status: Offline

Re:[Tutorial] Integração com o Active Directory ou Samba4

Mensagem por marceloleaes »

Qual o erro, pode postar um print ?
"Transportai um punhado de terra todos os dias e fareis uma montanha." Confúcio

mcustodioo
Newbie
Newbie
Mensagens: 13
Registrado em: 11 Mar 2014 14:54
Status: Offline

Re:[Tutorial] Integração com o Active Directory ou Samba4

Mensagem por mcustodioo »

Lembre-se de instalar os serviços que LINUX no painel de controle de seu controlador de dominio.
Sem isso, ele de fato não ira funcionar.

Eu não me lembro qual o serviço no windows deve ser instalado agora, mas se precisar, posso descobrir e lhe falar.

Me lembro que era algo como se fosse: UNix ou Linux

Avatar do usuário
marceloleaes
Administrator
Administrator
Mensagens: 1516
Registrado em: 10 Jun 2013 12:45
Localização: Novo Hamburgo
Idade: 41
Contato:
Status: Offline

Re:[Tutorial] Integração com o Active Directory ou Samba4

Mensagem por marceloleaes »

Não existe nenhuma dependência de serviço na máquina Windows.

O protocolo NTLM só depende do samba no próprio Endian.

Um erro bem comum de acontecer quando não integrar é o fato de que o endereço realm do dominio esta diferente do netbios. Ai não integra através da interface, mas por linha de comando ajustando conseguimos integrar sem problemas. Isto esta documentado no fórum.
"Transportai um punhado de terra todos os dias e fareis uma montanha." Confúcio

mailsonmota
Newbie
Newbie
Mensagens: 35
Registrado em: 01 Mar 2014 10:42
Status: Offline

Re:[Tutorial] Integração com o Active Directory ou Samba4

Mensagem por mailsonmota »

Bom dia Marcelo!

Cara, segui todo o seu passo-a-passo das configurações. Só que após realizar os procedimentos não consigo acessar o Skype, Dropbox, SkyDrive e Google drive nas máquinas não funcionam mais. Por mais que eu configure o proxy e autentique o usuário nos programas o problema continua. Fico no aguardo de uma solução, desde já muito obrigado.

Avatar do usuário
marceloleaes
Administrator
Administrator
Mensagens: 1516
Registrado em: 10 Jun 2013 12:45
Localização: Novo Hamburgo
Idade: 41
Contato:
Status: Offline

Re:[Tutorial] Integração com o Active Directory ou Samba4

Mensagem por marceloleaes »

Bom dia

Para cada um dos softwares citados é necessária uma liberação por ACL para que o acesso seja feito sem autenticação.
Ou utilizar autenticação na aplicação para que funcione, ex: DOMINIO\fulano.beltrano , e sua senha.

É mais prático e melhor liberar através de ACL ( Access Policy )
"Transportai um punhado de terra todos os dias e fareis uma montanha." Confúcio

Avatar do usuário
Bruno Rocha
Newbie
Newbie
Mensagens: 12
Registrado em: 14 Jan 2014 11:17
Idade: 37
Status: Offline

Re: [Tutorial] Integração com o Active Directory ou Samba4

Mensagem por Bruno Rocha »

Galera, eu to com problema em ingressar o endian em um dominio com samba4.

Fiz todas as configurções direitinho, como manda o tuto acima, mas quando eu tento ingressar da a seguinte mensagem:

Failed to join domain: failed to connect to AD: Strong(er) authentication required



Alguem sabe o q pode estar dando errado?

Avatar do usuário
marceloleaes
Administrator
Administrator
Mensagens: 1516
Registrado em: 10 Jun 2013 12:45
Localização: Novo Hamburgo
Idade: 41
Contato:
Status: Offline

Re: [Tutorial] Integração com o Active Directory ou Samba4

Mensagem por marceloleaes »

Adicionar a sessão global do smb.conf

Código: Selecionar todos

client ldap sasl wrapping = sign

Avatar do usuário
Bruno Rocha
Newbie
Newbie
Mensagens: 12
Registrado em: 14 Jan 2014 11:17
Idade: 37
Status: Offline

Re: [Tutorial] Integração com o Active Directory ou Samba4

Mensagem por Bruno Rocha »

Fiz como vc recomendou e a sessao global do arquivo ficou da seguinte forma:

#======================= Global Settings =====================================
[global]

# workgroup = NT-Domain-Name or Workgroup-Name, eg: MIDEARTH
   workgroup = MYGROUP

# server string is the equivalent of the NT Description field
   server string = Samba Server

# Security mode. Defines in which mode Samba will operate. Possible 
# values are share, user, server, domain and ads. Most people will want 
# user level security. See the Samba-HOWTO-Collection for details.
   security = user

# This option is important for security. It allows you to restrict
# connections to machines which are on your local network. The
# following example restricts access to two C class networks and
# the "loopback" interface. For more examples of the syntax see
# the smb.conf man page
;   hosts allow = 192.168.1. 192.168.2. 127.

# If you want to automatically load your printer list rather
# than setting them up individually then you'll need this
   load printers = yes

# you may wish to override the location of the printcap file
;   printcap name = /etc/printcap

# on SystemV system setting printcap name to lpstat should allow
# you to automatically obtain a printer list from the SystemV spool
# system
;   printcap name = lpstat

# It should not be necessary to specify the print system type unless
# it is non-standard. Currently supported print systems include:
# bsd, cups, sysv, plp, lprng, aix, hpux, qnx
;   printing = cups

# Uncomment this if you want a guest account, you must add this to /etc/passwd
# otherwise the user "nobody" is used
;  guest account = pcguest

# this tells Samba to use a separate log file for each machine
# that connects
   log file = /usr/local/samba/var/log.%m

# Put a capping on the size of the log files (in Kb).
   max log size = 50

# Use password server option only with security = server
# The argument list may include:
#   password server = My_PDC_Name [My_BDC_Name] [My_Next_BDC_Name]
# or to auto-locate the domain controller/s
#   password server = *
;   password server = <NT-Server-Name>

# Use the realm option only with security = ads
# Specifies the Active Directory realm the host is part of
;   realm = MY_REALM

# Backend to store user information in. New installations should 
# use either tdbsam or ldapsam. smbpasswd is available for backwards 
# compatibility. tdbsam requires no further configuration.
;   passdb backend = tdbsam

# Using the following line enables you to customise your configuration
# on a per machine basis. The %m gets replaced with the netbios name
# of the machine that is connecting.
# Note: Consider carefully the location in the configuration file of
#       this line.  The included file is read at that point.
;   include = /usr/local/samba/lib/smb.conf.%m

# Configure Samba to use multiple interfaces
# If you have multiple network interfaces then you must list them
# here. See the man page for details.
;   interfaces = 192.168.12.2/24 192.168.13.2/24 

# Browser Control Options:
# set local master to no if you don't want Samba to become a master
# browser on your network. Otherwise the normal election rules apply
;   local master = no

# OS Level determines the precedence of this server in master browser
# elections. The default value should be reasonable
;   os level = 33

# Domain Master specifies Samba to be the Domain Master Browser. This
# allows Samba to collate browse lists between subnets. Don't use this
# if you already have a Windows NT domain controller doing this job
;   domain master = yes 

# Preferred Master causes Samba to force a local browser election on startup
# and gives it a slightly higher chance of winning the election
;   preferred master = yes

# Enable this if you want Samba to be a domain logon server for 
# Windows95 workstations. 
;   domain logons = yes

# if you enable domain logons then you may want a per-machine or
# per user logon script
# run a specific logon batch file per workstation (machine)
;   logon script = %m.bat
# run a specific logon batch file per username
;   logon script = %U.bat

# Where to store roving profiles (only for Win95 and WinNT)
#        %L substitutes for this servers netbios name, %U is username
#        You must uncomment the [Profiles] share below
;   logon path = \\%L\Profiles\%U

# Windows Internet Name Serving Support Section:
# WINS Support - Tells the NMBD component of Samba to enable it's WINS Server
;   wins support = yes

# WINS Server - Tells the NMBD components of Samba to be a WINS Client
# Note: Samba can be either a WINS Server, or a WINS Client, but NOT both
;   wins server = w.x.y.z

# WINS Proxy - Tells Samba to answer name resolution queries on
# behalf of a non WINS capable client, for this to work there must be
# at least one WINS Server on the network. The default is NO.
;   wins proxy = yes

# DNS Proxy - tells Samba whether or not to try to resolve NetBIOS names
# via DNS nslookups. The default is NO.
   dns proxy = no 

# These scripts are used on a domain controller or stand-alone 
# machine to add or delete corresponding unix accounts
;  add user script = /usr/sbin/useradd %u
;  add group script = /usr/sbin/groupadd %g
;  add machine script = /usr/sbin/adduser -n -g machines -c Machine -d /dev/null -s /bin/false %u
;  delete user script = /usr/sbin/userdel %u
;  delete user from group script = /usr/sbin/deluser %u %g
;  delete group script = /usr/sbin/groupdel %g

client ldap sas1 wrapping = sign


E o erro continua!
Se eu pingar pro nome do dominio, pinga normal.
Se eu pingar pro nome do controlador de dominio, pinga normal.
Se eu pingar pro fqdn do controlador de dominio, pinga normal.

Avatar do usuário
marceloleaes
Administrator
Administrator
Mensagens: 1516
Registrado em: 10 Jun 2013 12:45
Localização: Novo Hamburgo
Idade: 41
Contato:
Status: Offline

Re: [Tutorial] Integração com o Active Directory ou Samba4

Mensagem por marceloleaes »

Experimenta desabilitar do lado do AD via GPO
Mantendo como None, se funcionar abre um ticket com o pessoal do Endian informando que o parametro no samba não funciona

https://technet.microsoft.com/en-us/lib ... UCcqd_WTg)()

Responder

Voltar para “Video Aula e Tutoriais”