Genel Bakış

Labris ürünlerinin Aktif Dizin ile entegrasyonu yapılarak Güvenlik Duvarı, Webfilter, VPN, Wauth gibi alanlarda Aktif Dizin kullanıcıları kullanılabilir. Kullanıcı adı ile yetkilendirme yapılabilir veya kurallar yazılabilir.

Ön Koşul

Aktif Dizin yapısının kurulmuş ve bütün bilgisayarların Aktif Dizine dahil olması gerekir.

Aktif dizin sunucusu üzerinde DNS servisinin çalışması gerekmektedir.

Aktif Dizin yazılabilir olmalıdır. (Primary DC, Additional DC)

Okunabilir aktif dizin (readonly domain controller) entegrasyonu desteklenmemektedir.

Senaryo

Sunucu Bilgileri

Alan Adı: labtest.local

AD Alan Adı: w2k12.labtest.local

Alan Denetleyicisi (Sunucu IP): 192.168.20.254

Şifre Sunucusu: 192.168.20.254

Çalışma Gurubu: labtest

Bu bilgilere sahip aktif dizin ile entegrasyon sağlanacaktır.

Bu anlatım Windows server 2012 üzerinde yapılmıştır.

Windows Server 2003/2008 için genel yöntem aynı olmakla birlikte sunucu üzerindeki menülerin yerleri farklı olabilmektedir.

Yapılandırma

Adım 1 : Labris’in entegrasyonu için aktif dizin üzerinde kullanıcı ve bilgisayar kaydı açılır.

1. Active Directory Users And Computers yönetim penceresine girilir.



2. Users altında “labris” isminde kullanıcı açılır.





3. Computers altında labris cihazının adı (hostname) ile bilgisayar kaydı açılır. Labris’in Bilgisayar adını Labris yönetim konsolu > Sistem > Genel Ayarlar Alanından görüntüleyebilirsiniz.





4. Tanımlanan bilgisayar üzerinde açılan labris kullanıcısı için güvenlik (Security) alanından tam yetki verilir. Güvenlik alanı görülmüyor ise view (görünüm) > Advanced Features (Gelişmiş özellikler) seçilir.

   

   

   

Adım 2 :  Labris Aktif Dizin ayarları yapılır.

     Labris Aktif Dizin ayarları Filtre Modülü altından yapılmaktadır.

1. Filtre modülüne girilir ve ayarlar kısmından kimlik doğrulama ayarları yapılır.

   

   No	Parametre	Değer	Açıklama
   1	NTLM Kimlik Doğrulama		NTLM yönetimi ile yetkilendirme yapılması isteniyor ise bu işaretli olmalıdır. Bu yöntemde Internet tarayıcılarında Labris IP adresi ve port 3128 olacak şekilde proxy yazılmalıdır.
   2	Parola Kimlik Doğrulaması		Bu yöntem ile Basit kimlik doğrulama yapılır. Bu yöntemde internet tarayıcılarına proxy yazılmaz. Kullanıcı bilgisayarında çalışan bir logon script belirli periyodlarda labris’e kullanıcı ve domain bilgisini gönderir. Ayrıca bunun ayarlarına ilişkin bölümü okuyabilirsiniz.
   3	IP Kimlik Doğrulaması		Bu yöntem ile sadece IP ile yetkilendirme yapılır.

2. NTLM Kimlik doğrulama bilgileri girilir.

   

   No	Parametre	Değer	Açıklama
   1	Alan	labtest.local	Aktif Dizin Alan adı yazılır.
   2	AD Alan Adı	w2k12.labtest.local	Aktif Dizin sunucusunun adı ile birlikte alan adı yazılır.
   3	Alan Denetleyicisi	192.168.20.254	Aktif Dizin sunucusunun IP adresi yazılır.
   4	Şifre Sunucusu	192.168.20.254	Aktif Dizin sunucusunun IP adresi yazılır.
   5-	Çalışma Grubu	LABTEST	Aktif dizin etki alanı adı girilir.

3. Labris entegrasyonu için aktif dizinde açılan kullanıcı adı ve şifre bilgileri girilir.

   

   Entegrasyon başarılı bir şekilde yapıldıktan sonra kaydet denir.

   

Adım 3 : Kullanıcı Yönetimi modülünde Aktif Dizin kullanıcı ve grupları görüntülenir.

Entegrasyon sonrası Yenile butonuna basılır ve çıkan uyarıya tamam denir. Resimdeki gibi Aktif dizin kullanıcılarının listelendiği görülür.

Labris Logon Tracker veya Labris Logon yazılımarı ile kullanıcı isimlerinin hangi bilgisayarı kullandıktalırının tespiti sırasında aynı anda ik oturum açılması hatalı yetkilendirme ve hatalı loglamaya sebep olmaktadır. Bu nedenle aynı anda aynı bilgisayarda 2 veya daha fazla oturum açılmaması gerekmektedir.

Group policy ile bütün bilgisayarlarda bu özelliği kapatmak mümkündür.

Windows Vista / 7 / 8 için geçerlidir.

Windows XP işletim sistemi etki alanına dahil olduklarında Hızlı Kullanıcı Değiştirme özelliğini kullanamazlar. Bu yüzden ek bir ayar yapmaya gerek yoktur.

Ön Koşul

Aktif Dizin yapısının kurulmuş ve bütün bilgisayarların Aktif Dizine dahil olması gerekir.

Labris ile Aktif Dizin entegrasyonu yapılmış olmalıdır.
Basit yetkilendirme yöntemi kullanılıyor olmalıdır.

Labris Logon Tracker veya Labris Logon yazılımlarından en az biri kullanılıyor olmalıdır.

Senaryo

Labris ile entegre olmuş aktif dizin üzerinde group policy kullanarak Hızlı kullanıcı değiştirme (Fast User Switching) özelliğinin nasıl kapatılacağı anlatılacaktır.

Bu anlatım Windows server 2012 üzerinde yapılmıştır.

Windows Server 2003/2008 için genel yöntem aynı olmakla birlikte sunucu üzerindeki menülerin yerleri farklı olabilmektedir.

Yapılandırma

Adım 1 : Aktif Dizin Group Policy yönetim penceresine girilir.

Adım 2 : Default Domain Policy düzenlenir. Istenirse farklı bir group policy oluşturulup ayarlar burada da yapılabilir.

Adım 3 : İlgili Group Policy Ayarı düzenlenir.

Computer Policy > Computer Configuration > Administrative Templates > System > Logon Hide entry points for Fast User Switching düzenlenir ve enabled yapılır.

Adım 4 : Group policy ayarları uygulanır.

Yapılan değişikliklerin geçerli olması için group policy ayarları bütün kullanıcılar için update edilir. “Windows + r” tuşları kullanılarak Çalıştır açılır. Bu alana “gpudate /force” komutu verilerek ayarlar uygulanır.

IPV6 INFO:

Router:

 IPv4: 192.168.200.1/24

IPv6: 2a00:1450:4016:200::1/64

Windows 2012 R2 server:

 IPv4: 192.168.250.10/24

 GW: 192.168.250.1

 IPv6: 2a00:1450:4016:250::2/64

GW: 2a00:1450:4016:250::1

Labris tarafında /etc/sysconfig/network-scripts/ dizini altındaki arabirim konfigürasyonları aşağıdaki gibi düzenlenir:
LABRIS CONF:
Labris WAN:
BOOTPROTO=static

DEVICE=eth2

IPADDR=192.168.200.2

NETMASK=255.255.255.0

IPV6INIT=yes

IPV6ADDR=2a00:1450:4016:200::2/64

IPV6_DEFAULTGW=2a00:1450:4016:200::1

ONBOOT=yes

NOZEROCONF=yes

Labris DMZ:

BOOTPROTO=static

DEVICE=eth3

IPADDR=192.168.250.1

NETMASK=255.255.255.0

IPV6INIT=yes

IPV6ADDR=2a00:1450:4016:250::1/64

ONBOOT=yes

NOZEROCONF=yes

IPV6 özelliği aktif edilir:

$vi /etc/sysconfig/network
NETWORKING=yes

NETWORKING_IPV6=yes

HOSTNAME=labris

IPV6 ile ilgili aşağıdaki özellikler açılır:

sysctl net.ipv6.conf.all.forwarding=1

sysctl net.ipv6.conf.default.forwarding=1

veya

echo 1 > /proc/sys/net/ipv6/conf/all/forwarding

echo 1 > /proc/sys/net/ipv6/conf/default/forwarding

Bu özellikler /etc/sysctl-custom.conf dosyasına eklenir.

net.ipv6.conf.all.forwarding = 1

net.ipv6.conf.default.forwarding = 1

Servisler yeniden başlatılır:

$service network restart;service labris-iproute restart

IPV6 Route Tablosuna aşağıdaki gibi bakılabilir:
  $route -n -A inet6 

Ping veya traceroute testleri yapılabilir:
$ping6 2a00:1450:4016:200::1

$ping6 ipv6.google.com $traceroute6

ipv6.google.com

IP6TABLES kurallar oluşturulur:(Dışardan gelen DNS istekleri DNS SERVER a gitmektedir)
ip6tables -F

ip6tables -X

ip6tables -I INPUT -j DROP

ip6tables -I INPUT -j LOG --log-prefix "_lfp_ DROP IPV6 " --log-level 6
ip6tables -I OUTPUT -j DROP

ip6tables -I OUTPUT -j LOG --log-prefix "_lfp_ DROP IPV6 " --log-level 6
ip6tables -I FORWARD -j DROP

ip6tables -I FORWARD -j LOG --log-prefix "_lfp_ DROP IPV6 " --log-level 6
ip6tables -I FORWARD -p tcp --dport 53 -d 2a00:1450:4016:250::2 -j ACCEPT

ip6tables -I FORWARD -p tcp --dport 53 -d 2a00:1450:4016:250::2 -j LOG --log-prefix "_lfp_ ACCEPT IPV6 " --log-level 6
ip6tables -I FORWARD -p tcp --sport 53 -s 2a00:1450:4016:250::2 -j ACCEPT

ip6tables -I FORWARD -p tcp --sport 53 -s 2a00:1450:4016:250::2 -j LOG --log-prefix "_lfp_ ACCEPT IPV6 " --log-level 6
ip6tables -I INPUT -p icmpv6 -j ACCEPT

ip6tables -I INPUT -p icmpv6 -j LOG --log-prefix "_lfp_ ACCEPT IPV6 " --log-level 6
ip6tables -I OUTPUT -p icmpv6 -j ACCEPT

ip6tables -I OUTPUT -p icmpv6 -j LOG --log-prefix "_lfp_ ACCEPT IPV6 " --log-level 6
ip6tables -I FORWARD -p icmpv6 -j ACCEPT

ip6tables -I FORWARD -p icmpv6 -j LOG --log-prefix "_lfp_ ACCEPT IPV6 " --log-level 6

Kuralların Kalıcı Olması İçin aşağıdaki işlemler yapılır:
$ip6tables-save > /etc/sysconfig/ip6tables

Daha Sonra Kuralların Kalıcı Olduğu Test edilir:
$/etc/init.d/ip6tables stop$/etc/init.d/ip6tables start

XML yöntemine göre sms ayarları nasıl yapılır?

Ön Koşullar

Labris Wauth lisansına sahip olunmalıdır.

SMS Wauth özelliği kullanıma açık olmalıdır.

Labris Wauth Genel ayarlar yapılmış olmalıdır.

Senaryo

Xml yöntemi ile gerekli sms konfigürasyonları yapılandırılacaktır.

Yapılandırma

Web arayüzü üzerinden WAUTH ---> Settings ---> General sekmesindeki SMS Wauth modülü etkinleştirilir. 

Eklenen SMS Wauth sekmesinden Use Custom SMS Api seçeneğinin tiki işaretlenir.

Custom SMS Service Configuration butonuna tıklanır. Gelen pop-up üzerinden Type: XML olarak seçilir. URL ve XML file alanına aşağıdaki değerler girilir.

URL: http://www.postaguvercini.com/api_xml/Sms_insreq.asp

<?xml version="1.0" encoding="iso-8859-9"?>

<SMS-InsRequest> 

  <CLIENT user="kullanici_adi" pwd="parola" /> 

    <INSERT to="{gsm_no}" text="{message_body}" />

</SMS-InsRequest>

This guide is about Labris SSL VPN Client and its configuration.

Who should use this Guide

This guide should be used by Network and System managers.

Technical Support

If you want technical support, you should contact with the Labris Network CSS (Close Security Support) Center.

For the phone support you can call following numbers on weekdays.

+90 312 2101113 / +90 312 2101114

SSL VPN Configurations

1- Please connect to Labris UTM via ssh protocol. Putty can be used for connection. (You should know the root password)

2- Enter the configuration directory.

cd /etc/openvpn

3- Compy the sample configuration file to this directory

cp -r samples/labris-ssl-vpn/labris-ssl-vpn* /etc/openvpn/

4- Edit the configuration file according to your topology.(You can use any editor that you feel comfotable to use editing.)

nano labris-ssl-vpn.conf

After you open the conf file, take the cursor to the line which you want to edit.You can move cursor with Arrow Keys

Changeable Values

lport 4443 : That will decide the port number of which Labris SSL VPN works on .

server 10.8.3.0 255.255.255.0 : SSL VPN subnet. Clients will get IP address from this SSL VPN network range.

max-clients 100 : Maximum number of the users that connected at the same time.

push "route 192.168.20.0 255.255.255.0" : Your Local Network should be written here.If there is more than one LAN you can write them next line.

push "route 192.168.20.0 255.255.255.0"
push "route 172.16.17.0 255.255.255.0"

;push "redirect-gateway def1 bypass-dhcp" : This line is disabled default with the “;” sign. Remove the ";" sign to activate. SSL VPN clients will connect to not only Local Area Network but also the Internet through Labris tunnel if this line is activated. Firewall configuration should be done accurately!