During this webinar, we will discuss how starting from ArubaOS 8.2.0.0, selected APs can run in both controller-based mode and controller-less mode and the implications tied to that. Check out the webinar recording where this presentation was used: http://community.arubanetworks.com/t5/Wireless-Access/Technical-Webinar-AP-Discovery-amp-Deployment-Policy-ArubaOS-8-x/m-p/394540/
Register for the upcoming webinars: https://community.arubanetworks.com/t5/Training-Certification-Career/EMEA-Airheads-Webinars-Jul-Dec-2017/td-p/271908
During this webinar, we will discuss how starting from ArubaOS 8.2.0.0, selected APs can run in both controller-based mode and controller-less mode and the implications tied to that. Check out the webinar recording where this presentation was used: http://community.arubanetworks.com/t5/Wireless-Access/Technical-Webinar-AP-Discovery-amp-Deployment-Policy-ArubaOS-8-x/m-p/394540/
Register for the upcoming webinars: https://community.arubanetworks.com/t5/Training-Certification-Career/EMEA-Airheads-Webinars-Jul-Dec-2017/td-p/271908
Design Best Practices for High Availability in Load BalancingAvi Networks
Watch webinar on-demand https://info.avinetworks.com/webinars/high-availability-load-balancing
Application availability is a critical function of load balancing but a pain to get it right. The reality is you don't get to test (or wish you don't have to activate) it too often. However, an HA system should deliver: faster failover with reasonable efficiency, autoscaling, session mirroring and self-healing resiliency. In this webinar, we will re-introduce HA as an intertwined concept as well as some best practices - what if you can redesign HA with a modern load balancing platform?
Here are some of the HA requirements to consider:
- Architectural considerations for various HA options
- Moving away from expensive Active / Standby load balancing pairs to an elastic Active / Active load balancing fabric
- The importance to separate control plane and data plane HA
- Four HA modes: legacy A/S, elastic A/A, elastic N+M, and elastic N+0
News And Development Update Of The CloudStack Tungsten Fabric SDN Plug-inShapeBlue
This talk involved a demo of the Tungsten Fabric Plugin and details what the important features are.
Sven Vogel is a German IT-Specialist with 15+ years experience in IT and member of the Apache Software Foundation. Before he got invited to join the mother foundation, he has been the Chairman / VP of Apache Cloudstack and an active Committer for a few years. He is well-known for driving various projects and supporting everyone who needs technological exchange, advise or upskilling. His interest in cloud-technologies is both - his professional and personal passion and he looks forward meeting you to talk about why system-relevant institutions need our help as open source technologists.
-----------------------------------------
CloudStack Collaboration Conference 2022 took place on 14th-16th November in Sofia, Bulgaria and virtually. The day saw a hybrid get-together of the global CloudStack community hosting 370 attendees. The event hosted 43 sessions from leading CloudStack experts, users and skilful engineers from the open-source world, which included: technical talks, user stories, new features and integrations presentations and more.
This presentation describes how to configure and leverage ProxySQL with
AWS Aurora,
Azure Database for MySQL
and CloudSQL for MySQL.
It details the various benefits, configuration, and monitoring.
Hybrid cloud : why and how to connect your datacenters to OVHcloud ? OVHcloud
Across our products or between OVHcloud and your own datacenters, Oliver Bédouet will detail network architectures you can build and their advantages, from vRack to OVHcloud Connect.
As enterprises move to the cloud, robust connectivity is often an early consideration. AWS Direct Connect provides a more consistent network experience for accessing your AWS resources, typically with greater bandwidth and reduced network costs. This session dives deep into the features of AWS Direct Connect and VPNs. We discuss deployment architectures and demonstrate the process from start to finish. We’ll show you how to configure public and private virtual interfaces, configure routers, use VPN backup, and provide secure communication between sites by using the AWS VPN CloudHub.
AWS 환경에서 Dell Technologies 데이터 보호 솔루션을 활용한 데이터 보호 방안 - 정진환 이사, Dell EMC :: AW...Amazon Web Services Korea
스폰서 발표 세션 | AWS 환경에서 Dell Technologies 데이터 보호 솔루션을 활용한 데이터 보호 방안
정진환 이사, Dell EMC
본 세션에서는 AWS 환경에서 운용하고 있는 주요 서비스에 대해 Dell Technologies의 데이터 보호 솔루션을 활용하여 데이터를 보호하는 방법과 온프레미스 환경에서 운용하고 있는 주요 가상화 시스템을 AWS 환경으로 손쉽게 DR 환경을 구축할 수 있는 방법을 살펴봅니다. 또한 고객의 장기 보관 데이터를 AWS 환경으로 비용 효율적으로 보관하는 솔루션에 대해서 살펴봅니다.
Quản lý mailbox và group trong exchange 2013laonap166
Phần trước, chúng ta đã tìm hiểu về việc cài đặt và cấu hình chứng chỉ cho exchange 2013. Phần này chúng ta sẽ tiến hành việc tạo mailbox và group trong mục Recipient.
Mục tiêu: Tạo ra các group
Ban giám đốc
Phòng IT
Phòng tài chánh
Phòng nhân sự
Phòng marketing
Tạo ra các user ứng với từng phòng ban. Trong hệ thống, trước khi cài đặt Exchange đã có 2 user là Le Van Ti va Nguyen Van A. Sau khi cài đặt hệ thống email, chúng ta cần cấu hình mailbox cho các user này để có thể gửi nhận email. Bên cạnh đó, chúng ta sẽ tạo ra từng group ứng với từng phòng ban để tiện việc quản lý.
Đầu tiên, chúng ta truy cập vào máy chủ CAS, vào phần Recipient, chọn Group. Bấm vào dấu cộng để bắt đầu tạo mới
ClearPass OnGuard agents perform endpoint posture assessment and ensure that compliance is met before granting access to the network. This session will cover the ClearPass OnGuard Agent components and work-flow in detail.
Check out the webinar recording where this presentation was used:
https://community.arubanetworks.com/t5/Security/Airheads-Tech-Talks-Understanding-ClearPass-OnGuard-Agents/td-p/524288
As billions of devices connect to enterprise networks, IT is struggling to gain more visibility and control using multiple, disparate security systems and management tools. ClearPass Exchange fixes this problem by acting as a central decision point, providing context for a unified network access defense for wired and wireless access, and leveraging downstream security and productivity systems and context to improve end-user workflows and secure devices wherever they connect. Learn how to leverage ClearPass Exchange to deploy and use endpoint, access, traffic inspection and data visiblitiy solutions for mobile workfoce productivity and threat prevention.
Design Best Practices for High Availability in Load BalancingAvi Networks
Watch webinar on-demand https://info.avinetworks.com/webinars/high-availability-load-balancing
Application availability is a critical function of load balancing but a pain to get it right. The reality is you don't get to test (or wish you don't have to activate) it too often. However, an HA system should deliver: faster failover with reasonable efficiency, autoscaling, session mirroring and self-healing resiliency. In this webinar, we will re-introduce HA as an intertwined concept as well as some best practices - what if you can redesign HA with a modern load balancing platform?
Here are some of the HA requirements to consider:
- Architectural considerations for various HA options
- Moving away from expensive Active / Standby load balancing pairs to an elastic Active / Active load balancing fabric
- The importance to separate control plane and data plane HA
- Four HA modes: legacy A/S, elastic A/A, elastic N+M, and elastic N+0
News And Development Update Of The CloudStack Tungsten Fabric SDN Plug-inShapeBlue
This talk involved a demo of the Tungsten Fabric Plugin and details what the important features are.
Sven Vogel is a German IT-Specialist with 15+ years experience in IT and member of the Apache Software Foundation. Before he got invited to join the mother foundation, he has been the Chairman / VP of Apache Cloudstack and an active Committer for a few years. He is well-known for driving various projects and supporting everyone who needs technological exchange, advise or upskilling. His interest in cloud-technologies is both - his professional and personal passion and he looks forward meeting you to talk about why system-relevant institutions need our help as open source technologists.
-----------------------------------------
CloudStack Collaboration Conference 2022 took place on 14th-16th November in Sofia, Bulgaria and virtually. The day saw a hybrid get-together of the global CloudStack community hosting 370 attendees. The event hosted 43 sessions from leading CloudStack experts, users and skilful engineers from the open-source world, which included: technical talks, user stories, new features and integrations presentations and more.
This presentation describes how to configure and leverage ProxySQL with
AWS Aurora,
Azure Database for MySQL
and CloudSQL for MySQL.
It details the various benefits, configuration, and monitoring.
Hybrid cloud : why and how to connect your datacenters to OVHcloud ? OVHcloud
Across our products or between OVHcloud and your own datacenters, Oliver Bédouet will detail network architectures you can build and their advantages, from vRack to OVHcloud Connect.
As enterprises move to the cloud, robust connectivity is often an early consideration. AWS Direct Connect provides a more consistent network experience for accessing your AWS resources, typically with greater bandwidth and reduced network costs. This session dives deep into the features of AWS Direct Connect and VPNs. We discuss deployment architectures and demonstrate the process from start to finish. We’ll show you how to configure public and private virtual interfaces, configure routers, use VPN backup, and provide secure communication between sites by using the AWS VPN CloudHub.
AWS 환경에서 Dell Technologies 데이터 보호 솔루션을 활용한 데이터 보호 방안 - 정진환 이사, Dell EMC :: AW...Amazon Web Services Korea
스폰서 발표 세션 | AWS 환경에서 Dell Technologies 데이터 보호 솔루션을 활용한 데이터 보호 방안
정진환 이사, Dell EMC
본 세션에서는 AWS 환경에서 운용하고 있는 주요 서비스에 대해 Dell Technologies의 데이터 보호 솔루션을 활용하여 데이터를 보호하는 방법과 온프레미스 환경에서 운용하고 있는 주요 가상화 시스템을 AWS 환경으로 손쉽게 DR 환경을 구축할 수 있는 방법을 살펴봅니다. 또한 고객의 장기 보관 데이터를 AWS 환경으로 비용 효율적으로 보관하는 솔루션에 대해서 살펴봅니다.
Quản lý mailbox và group trong exchange 2013laonap166
Phần trước, chúng ta đã tìm hiểu về việc cài đặt và cấu hình chứng chỉ cho exchange 2013. Phần này chúng ta sẽ tiến hành việc tạo mailbox và group trong mục Recipient.
Mục tiêu: Tạo ra các group
Ban giám đốc
Phòng IT
Phòng tài chánh
Phòng nhân sự
Phòng marketing
Tạo ra các user ứng với từng phòng ban. Trong hệ thống, trước khi cài đặt Exchange đã có 2 user là Le Van Ti va Nguyen Van A. Sau khi cài đặt hệ thống email, chúng ta cần cấu hình mailbox cho các user này để có thể gửi nhận email. Bên cạnh đó, chúng ta sẽ tạo ra từng group ứng với từng phòng ban để tiện việc quản lý.
Đầu tiên, chúng ta truy cập vào máy chủ CAS, vào phần Recipient, chọn Group. Bấm vào dấu cộng để bắt đầu tạo mới
ClearPass OnGuard agents perform endpoint posture assessment and ensure that compliance is met before granting access to the network. This session will cover the ClearPass OnGuard Agent components and work-flow in detail.
Check out the webinar recording where this presentation was used:
https://community.arubanetworks.com/t5/Security/Airheads-Tech-Talks-Understanding-ClearPass-OnGuard-Agents/td-p/524288
As billions of devices connect to enterprise networks, IT is struggling to gain more visibility and control using multiple, disparate security systems and management tools. ClearPass Exchange fixes this problem by acting as a central decision point, providing context for a unified network access defense for wired and wireless access, and leveraging downstream security and productivity systems and context to improve end-user workflows and secure devices wherever they connect. Learn how to leverage ClearPass Exchange to deploy and use endpoint, access, traffic inspection and data visiblitiy solutions for mobile workfoce productivity and threat prevention.
Yêu cầu: Hai server cấu hình Active - Active và sử dụng chung một Disk_Cluster (Trên SAN STORAGE) hay nói cách khác là 2 Server sẽ sử dụng chung một ổ trên SAN STORAGE để ghi dữ liệu vào đó.
(Bình thường nếu theo cơ chế Cluster thì trong tại một thời điểm thì chỉ có một Server được phép truy cập vào vùng Disk đó để ghi dữ liệu và Server còn lại chỉ dự phòng không được phép truy cập vào vùng disk đó, khi server chính bị sự cố thì
Server dự phòng mới được truy cập.
Sau đây mình sẽ hướng dẫn bạn cấu hình Cluster File System theo mô hình Acitve/Active để cho 2 Server cùng truy cập cùng một lúc để lưu và đọc dữ liệu như một ổ Share bình thường.
Cấu hình giao thức ldaps cho việc change password của ad từ các hệ thống vpn
1. cấu hình giao thức LDAPS cho việc
Change password của AD từ các hệ thống
VPN / SharePoint / .Net / PHP / Apache
dùng SSL/TLS
1. Tại sao lại cần SSL/TLS cho LDAP (port default: 389):
Theo mặc định, truyền thông LDAP giữa máy chủ AD và máy chủ ứng dụng không được mã hóa.
Thiết bị hoặc phần mềm và xem các thông tin liên lạc đi lại giữa client và máy tính LDAP server.
Điều này đặc biệt có vấn đề khi một LDAP đơn giản được sử dụng bởi vì các thông tin (tên người
dùng và mật khẩu) được truyền tải qua mạng được mã hóa, thậm trí có nhu cầu thay đổi mật khẩu.
Lưu ý: chỉ LDAP chuyển dữ liệu được tiếp xúc. Xác nhận hoặc ủy quyền dữ liệu khác sử dụng
Kerberos, SASL, và thậm chí NTLM có hệ thống mã hóa.
Tham khảo: Windows 2000 SP4 sử dụng LDAP hoặc
chứng thực đơn giản theo chuẩn Layer (SASL) và
bản sao giữa các domain controller được mã hóa bằng cách sử dụng Kerberos .
Lý do cho phép Lightweight Directory Access Protocol(LDAP) trên Secure Sockets Layer (SSL) /
Transport Layer Security (TLS) cũng được gọi là LDAPS bao gồm:
Một số ứng dụng xác thực với Active Directory Domain Services (AD DS) thông qua BIND đơn giản.
Như BIND đơn giản cho thấy nhiều thông tin quan trọng của người sử dụng trong văn bản rõ ràng,
sử dụng Kerberos được ưa thích. Nếu BIND đơn giản là cần thiết, sử dụng SSL / TLS để mã hóa các
phiên xác thực được khuyến khích mạnh mẽ.
Sử dụng các ràng buộc proxy hoặc thay đổi mật khẩu trên LDAP, mà đòi hỏi LDAPS. (Ví dụ: Bind
một AD LDS instance Thông qua một đối tượng Proxy )
Một số ứng dụng tích hợp với các máy chủ LDAP (như Active Directory hoặc Active Directory
Domain Controller) yêu cầu thông tin liên lạc được mã hóa. Để mã hóa truyền thông LDAP trong
một mạng Windows, bạn có thể bật LDAP trên SSL (LDAPS).
Cảnh báo Trước khi bạn cài đặt một hệ thống cấp chứng nhận (CA Server), bạn nên biết rằng bạn
đang tạo hoặc mở rộng một cơ sở hạ tầng khóa công khai (PKI). Hãy chắc chắn để thiết kế một PKI
đó là thích hợp cho tổ chức của bạn. Xem PKI Thiết kế Tổng quan Giới thiệu tóm tắt để biết thêm
thông tin.
1.1. Việc kích hoạt LDAPS cho domain controller sử dụng một hệ thống phân cấp CA
single-tier:
2. LDAP qua SSL / TLS (LDAPS) được tự động kích hoạt khi bạn cài đặt một Enterprise Root CA trên
một domain controller.
Bạn có thể xem các ví dụ về điều này trong các Test Lab Hướng dẫn cơ sở cấu hình cho Windows
Server 2008 R2 , Xây dựng một doanh nghiệp Root Certification Authority trong các doanh
nghiệp vừa và nhỏ , và Cài đặt và cấu hình Microsoft Active Directory Certificate Services (AD
CS) sử dụng Windows Server 2008 R2 .
1.2. Việc kích hoạt LDAPS cho domain controller sử dụng một hệ thống phân cấp CA
multi-tier:
Khi bạn có một-đa lớp (chẳng hạn như một hai tầng, ba tầng) CA phân cấp, bạn sẽ không tự động có
các chứng chỉ thích hợp để xác thực LDAPS trên Domain Controller. Để kích hoạt LDAPS trong một
hệ thống phân cấp CA multi-tier, bạn phải yêu cầu một giấy chứng nhận đáp ứng các yêu cầu sau:
Giấy chứng nhận phải có giá trị cho các mục đích của Server Authentication. Điều này có nghĩa
rằng nó cũng phải chứa các định danh đối tượng Server Authentication (OID): 1.3.6.1.5.5.7.3.1
Tên tiêu đề hoặc tên đầu tiên trong danh Alternative Subject (SAN) phải phù hợp với Fully
Qualified Domain Name (FQDN) của máy chủ, chẳng hạn như Subject: CN =
server1.contoso.com. Để biết thêm thông tin, xemLàm thế nào để thêm một tên thay thế Theo
giấy chứng nhận an toàn LDAP .
Các tài khoản máy chủ phải có quyền truy cập vào các khóa riêng.
Xuất một file CER chứng nhận có kiểu hỗ trợ Server Authentication.
2. Cách cấu hình LDAPS (default port: 636)
1. Trên máy chủ AD cần mở Certification Authority, mở Certificates console hoặc certsrv console.
Để mở certsrv, bấm Start > Gõ certsrv.msc và sau đó nhấp OK .
2. Đảm bảo rằng Certification Authority.
3. Kích chuột phải vào Certificate Templates > Manage.
3. 4. Trong Certificate Templates control, nhấp chuột phảiDomain Controller Authentication và
sau đó chọn Duplicate Template . Bạn không cần phải sử dụng các mẫu Kerberos. Bạn có thể tạo
riêng của bạn hoặc sử dụng một trong những mẫu hiện có Server Authentication như một Target,
chẳng hạn nhưDomain Controller Authentication, Domain Controller , Web Server ,
và Computer .
Quan trọng: Bạn nên kế hoạch trên có giấy chứng nhận trên mỗi máy chủ LDAP (tức là
Domain controller hoặc AD LDS server) với target: Server
Authentication .
5. Trên Duplicate Template , để mặc định chọn Windows Server 2003 Enterprise chọn và sau đó
nhấn OK .
6. Các thuộc tính của New Template xuất hiện. Đảm bảo rằng các thiết lập như bạn muốn họ
được cho mẫu chứng chỉ này. Hãy chú ý để đảm bảo rằng các tên Template hiển thị được thiết lập
để một cái tên thích hợp cùng với các cài đặt sau:
Thời gian hiệu lực và gia hạn được quy định theo chính sách bảo mật của tổ chức.
4. Chiều dài khóa phù hợp.
Chọn nếu bạn muốn đặt chứng chỉ trong Active Directory.
Tên tab Subject: Tên DNS và Dịch vụ tên chính (SPN) được lựa chọn.
Nếu bạn có kế hoạch để nhập chứng chỉ vào lưu trữ chứng chỉ Active Directory Domain Services,
sau đó cũng nên đánh dấu các khóa riêng như xuất khẩu.
5. 7. Nhấn OK .
8. Quay trở lại Giấy chứng nhận hoặc certsrv console và trong panel chi tiết của Certificate
Templates , kích chuột phải vào một khu vực mở của giao diện, kích New , và sau đó nhấp
vàoCertificate Template để export
6.
7. 3. Yêu cầu một chứng chỉ cho Server Authentication
Để yêu cầu một chứng chỉ từ máy chủ LDAPS của bạn, hãy làm như sau trên mỗi Domain Controller
đòi hỏi kết nối LDAPS:
8. 1. Mở Certificates console. Bấm vào Bắt đầu , loại MMC , và sau đó nhấn ENTER. Nếu được nhắc nhở
bởi User Account Control, đảm bảo nó sẽ hiển thị các hành động mà bạn muốn và sau đó
bấm Yes .
2. Trong giao diện điều khiển MMC được mở ra (thường Console1), nhấp vào file và sau đó nhấp
vào Add / Remove Snap-in.
3. Trong Add or Remove Snap-ins dưới Snap-ins , nhấp Certificates, và sau đó nhấp vào Add.
4. Trong Certificates snap-in , chọn Computer Account và sau đó nhấp vào Next.
5. Trong Select Computer , nếu bạn đang quản lý các máy chủ LDAP yêu cầu chứng chỉ, chọn Local.
Nếu không, hãy chọn Another Computer và nhấn Browse để xác định vị trí máy chủ LDAP yêu cầu
giấy chứng nhận.
6. Một khi bạn có máy tính đúng được chọn, nhấn OK và sau đó nhấp vào Finish.
7. Trong Add or Remove Snap-in , click OK .
8. Trong cây giao diện điều khiển, mở rộng Certificates (<Computer>).
9. kích chuột phải vào Certificates , nhấn All Tasks , và sau đó nhấp vào Yêu cầu chứng chỉ mới .
9.
10. 10. Trong Certificate Enrollment , bấm Next.
11. Trong Select Certificate Types, thông thường bạn sẽ để mặc định của Active Directory
Enrollment Policy . Nếu bạn có một chính sách khác nhau mà bạn nên làm theo, sau đó chọn một
trong đó và nhấp vào Next.
12. Chọn một chứng chỉ cho phép để xác thực server, Kerberoslàm việc, nhưng bạn có thể sử dụng
chứng chỉ tùy chỉnh như mô tả trong Công bố Giấy chứng nhận rằng Hỗ trợ Server Authentication.
Nhấn vào Enroll .
11.
12.
13. (1.3.6.1.5.5.7.3.1) .
Đối với từng bước ví dụ khác yêu cầu một chứng chỉ để xác thực máy chủ và thực hiện LDAP trên
SSL (LDAPS), xem các bài viết sau đây:
14. Yêu cầu một chứng chỉ máy tính để xác thực máy chủ – Windows Server 2003, 2003 hướng dẫn
R2
Làm thế nào để cho phép LDAP trên SSL với một bên thứ ba Certification Authority – Windows
Server 2000, 2003, 2003 R2, 2008, 2008 R2 hướng dẫn cập nhật
Phụ lục A: Cấu hình LDAP trên yêu cầu SSL cho AD LDS – Windows Server 2008 và Windows Server
2008 R2 hướng dẫn
4. Các dịch vụ Active Directory Domain Certificate lưu trữ
Khi một chứng chỉ được lựa chọn từ các máy tính local (như trong CertEnumCertificatesInStore )
Giấy chứng nhận hợp lệ đầu tiên mà có thể được sử dụng để xác thực máy chủ (OID:
1.3.6.1.5.5.7.3.1) được trả về để sử dụng. Trong trường hợp khách hàng có nhiều giấy chứng nhận
hợp lệ cho Server Authentication trong (ví dụ như các máy chủ LDAP của AD DS bộ điều khiển
miền , AD LDS , hoặc ADAM server) lưu trữ chứng chỉ máy tính local, có thể thấy rằng một
chứng chỉ khác so với cái mà họ muốn được sử dụng cho LDAPS.
Độ mã hóa tốt nhất cho một vấn đề như vậy là để loại bỏ tất cả các chứng chỉ không cần thiết từ
các máy tính local chứng nhận và chỉ có một giấy chứng nhận là hợp lệ để xác thực máy chủ. Tuy
nhiên, nếu có một lý do chính đáng mà hai hay nhiều chứng chỉ của một máy khách sử dụng ít nhất
Windows Server 2008 máy chủ, máy chủ LDAP, Directory Domain Services (NTDS Personal) lưu
trữ chứng chỉ mới có thể được sử dụng cho giao thức LDAPS .
Chú ý: Có một số chi tiết quan trọng cần biết trước khi bạn thực hiện việc sử dụng của các kho lưu
trữ chứng thực Active Directory Domain Services (AD DS):
1. Giấy chứng nhận đăng ký tự động (auto-enroll) không thể được sử dụng với các chứng chỉ trong
kho chứng chỉ cá nhân NTDS .
2. Các công cụ dòng lệnh hiện hành không cho phép quản lý giấy chứng nhận lưu trữ chứng chỉ cá
nhân NTDS .
3. Chứng chỉ nên được nhập khẩu vào các cửa hàng, và không di chuyển (bằng cách kéo và thả)
thông qua giao diện điều khiển Certificates (MMC)
4. Mỗi máy chủ LDAP sẽ yêu cầu giấy chứng nhận của riêng mình để sử dụng tùy chọn này, nhưng nó
chỉ là cần thiết để sử dụng tùy chọn này trên một máy chủ có nhiều chứng chỉ với mục đích Server
Authentication trong Giấy chứng nhận cửa hàng địa phương. Giải pháp tốt nhất là để chỉ có một
giấy chứng nhận trong giấy chứng nhận cá nhân của máy tính.
Lưu ý: Các bước trên đây là kết thúc việc cấu hình SSL cho LDAP trên phiên bản máy chủ
windows 2000 và Windows 2003 Enteprise.
4.1 Kiểm tra kết nối tới giao thức LDAPS connection:
1. Mở chính máy chủ Windows 2000 /2003 AD vừa cài LDAPS:
– netstat -n -p tcp server returns that 636 is listening:
15. 2. Mở máy chủ liên quan tới SharePoint Server / .NET / PHP Server / VPN SSL cần kết nối với máy
chủ Windows 2003/ 2000 vừa cài LDAPS:
3. Xem cách sửa lỗi này ở mục 6:
4.2. Xuất file pfx chứng nhận LDAPS và Nhập file pfx để sử dụng với AD DS (áp
dụng cho AD Server 2008 / 2008 R2 Enterprise):
Các bước sau chứng minh làm thế nào để xuất ra một giấy chứng nhận LDAPS kích hoạt từ kho lưu
trữ chứng thực Enterprise từ một Domain Controller để Directory Domain Services lưu trữ chứng
chỉ dịch vụ Active Directory (NTDS Personal).
Bạn sẽ phải thực hiện bước này cho mỗi Domain Controller khi có nhiều giấy chứng nhận với việc sử
dụng kích hoạt kiểu Server Authentication.
Giấy chứng nhận này sẽ phải được gia hạn sử dụng và chỉ thực hiện được bắt đầu với Windows
Server 2008 domain controller, vì đó là Windows Server Active Directory Domain service (AD DS)
đầu tiên, trong đó NTDS được tách ra như là dịch vụ riêng của chính hệ thống.
1. Bấm vào Start, gõ mmc và sau đó nhấn OK .
2. Nhấn vào File > Add / Remove Snap-in .
3. Nhấn vào Certificate và sau đó nhấp vào Add.
4. Trong Certificates snap-in, chọn Computer Account và sau đó nhấp vào Next.
5. Trong Select Computer , nếu bạn đang làm việc tại các máy chủ LDAP yêu cầu chứng chỉ,
chọnLocal . Nếu không, hãy chọn Another Computer và nhấn Browse để xác định vị trí máy chủ
LDAP yêu cầu giấy chứng nhận.
6. Một khi bạn có máy tính đúng được chọn, nhấn OK và sau đó nhấp vào Finish . Trong Add or
Remove Snap-in , click OK .
7. Trong cây giao diện điều khiển, mở rộng Certificates (<Computer>)
16. 8. Trong giấy chứng nhận giao diện điều khiển của một máy tính có một chứng chỉ có thể được sử
dụng để xác thực máy chủ, kích chuột phải vào chứng chỉ, nhấn All Tasks , và sau đó nhấp
vàoExport.
9. Trên Certificate Export Wizard màn hình chào mừng, nhấnNext.
17. 10. Trên export the Key Private màn hình, chọn Yes, export the private key và sau đó nhấp
vào Next. Nếu bạn không có tùy chọn để xuất khẩu các khóa riêng, sau đó các mẫu chứng chỉ không
cho phép xuất khẩu của khóa riêng
Tham khảo: Xuất bản chứng chỉ hỗ trợ Server Authentication.
Trên Export File Format màn hình, bạn nên chọn Export tất cả các thuộc tính mở rộng . Các lựa
chọn khác là:
11. Trên màn hình Password, nhập mật khẩu mà bạn muốn được sử dụng khi các chứng chỉ được
nhập khẩu. Bạn sẽ phải nhập mật khẩu hai lần: một lần trong Mật khẩu hộp và sau đó một lần nữa
trong các Loại và mật khẩu xác nhận . Sau đó, nhấp vào Next.
18. 12. Trên File to Export màn hình, nhập vào đường dẫn, tên file, và mở rộng tập tin .pfx và
sau đó nhấp vào Next.
19. 13. Xác nhận các thiết lập trên màn hình hoàn thành và sau đó nhấp vào Finish. Bạn sẽ thấy một
thông báo pop-up chỉ ra rằng việc xuất khẩu là thành công. Nhấn OK .
14. Nhấn vào File và sau đó nhấp vào Add / Remove Snap-in .
15. Nhấn vào Certificates và sau đó nhấp vào Add.
20. Chọn Service account và sau đó nhấp vào Next.
16. Chọn Local Computer, đảm bảo rằng bạn nhắm mục tiêu các máy tính thích hợp. Nếu bạn
đang chạy Microsoft Management Console (MMC) và muốn nhắm tới các máy tính địa phương, bạn
có thể để lại các lựa chọn mặc định của Local Computer. Nếu không, hãy chọn nother
computer và sau đó sử dụng các Browse để chọn các máy tính thích hợp. Sau đó nhấp vào Next.
17. Chọn Active Directory Domain Services và sau đó nhấp vàoFinish.
21. 18. Trên Add or Remove Snap-ins hộp thoại bấm OK .
19. Mở rộng Certificates (Active Directory Domain Services)và sau đó nhấp vào NTDS
Personal.
20. Kích chuột phải vào NTDS Personal, nhấn All Tasks , và sau đó nhấn Import .
21. Trên Certificate Import Wizard màn hình chào mừng, nhấnTiếp theo .
22. Trên File to Import , nhấn chuột vào Browse , và sau đó xác định vị trí các tập tin chứng chỉ
mà bạn đã xuất trước đó.
23. Trên mở màn hình, đảm bảo rằng Personal Information Exchange (* PFX, *. p12) được lựa
chọn là các loại tập tin và sau đó di chuyển các tập tin hệ thống để xác định vị trí các chứng chỉ mà
bạn đã xuất trước đó và sau đó nhấp vào giấy chứng nhận đó.
22. 24. Nhấn Open và sau đó nhấp vào Next.
25. Trên Password màn hình nhập mật khẩu bạn đặt cho các tập tin và sau đó nhấp vào Next.
Trên trang Certificate, đảm bảo rằng tất cả các chứng chỉ hợp lệ được chọn và đọc vào vị
tríCertificate store : NTDS Personal và sau đó nhấp vào Next.
26. Trên Certificate Import Wizard màn hình hoàn thành, bấmFinish. Sau đó bạn sẽ thấy một
thông báo rằng nhập đã thành công. Nhấn OK .
23. 27. Trong khung Navigation, dưới NTDS Personal, nhấpCertificates
28. Trong cửa sổ chi tiết, kích chuột phải vào chứng chỉ mà bạn nhập khẩu và sau đó nhấp
vào Browser.
Click vào Detail và sau đó nhấp vào Enhanced Key Usage, bạn sẽ thấy rằng Authentication Server
(1.3.6.1.5.5.7.3.1) là một trong những Target của các giấy chứng nhận và sau đó nhấpOK .
24. 5. Kiểm tra kết nối LDAPS:
Sau khi một chứng chỉ được cài đặt, hãy làm theo các bước sau để xác minh rằng LDAPS được kích
hoạt:
5.1 Bắt đầu công cụ mới Administration Directory (Ldp.exe)
Để sử dụng LDP.EXE trên Windows Server 2003, xem LDAP Tổng quan .
Để sử dụng LDP.EXE trên Windows XP, bạn phải tải về và cài đặt Windows XP Service Pack 2 công
cụ hỗ trợ .
Đối với Windows Vista, Windows 7, hoặc không điều khiển tên miền Windows Server 2008 hoặc
Windows Server 2008 R2 máy tính, xem Remote Server Administration Tools (RSAT) cho Windows
Vista, Windows 7, Windows Server 2008 và Windows Server 2008 R2
1. Trên kết nối đơn, nhấp vào Connect .
2. Nhập tên của máy chủ LDAP (ví dụ như Domain Controller hoặc AD LDS / ADAM server) mà bạn
muốn kết nối.
3. Đổi số cổng sang 636 .
4. Check ô SSL
5. Nhấn OK .
25. 6. Tham khảo các lỗi vs Xử lý sự cố LDAP qua SSL:
Khi bạn có vấn đề với LDAPS, có những điều khác nhau mà có thể là sai.
Các bạn nên tham khảo: Khắc phục sự cố LDAP qua SSL .
Chỉ có một sự kiện ID đó là liên quan trực tiếp đến LDAP trên SSL, đó là các mã lỗi có ký hiệu số:
Error event ID 1220 – LDAP trên SSL
Error event ID 2886 – LDAP ký : đăng nhập mỗi lần một bộ điều khiển miền được bắt đầu, nếu
bạn không có yêu cầu ký kích hoạt trên bộ điều khiển tên miền của bạn.
Error event ID 2887 – Nếu ký kết yêu cầu không được bật, sự kiện này còn giữ một số bao nhiêu
với phím unsigned xảy ra trong 24 giờ. Các sự kiện được đăng nhập mỗi 24 giờ.
Error event ID 2888 – Nếu ký cần được kích hoạt, sau đó điều này thậm chí giữ một đếm bao
nhiêu với phím LDAP unsigned xảy ra trong 24 giờ. Kể từ khi ký LDAP là cần thiết, với phím sẽ bị
từ chối. Đây là thông báo cho người quản trị để điều tra các máy tính khách hàng đang cố gắng để
ràng buộc mà không ký.
Error event ID 2889- quản trị có thể cho phép sự kiện này để giúp xác định các máy tính khách
hàng đang cố gắng để ràng buộc mà không ký. Sự kiện này được đăng nhập với địa chỉ IP và danh
tính ràng buộc của khách hàng mỗi khi một ràng buộc unsigned được thực hiện hoặc cố gắng.
Lỗi Error <0x51>: Fail to connect to
Đây là lỗi do bạn chưa ký chữ ký số của máy chủ windows 2000/2003 /2008 AD vừa dựng LDAPS
sang máy chủ liên quan mà bạn cần truy cập kết nối sử dụng dịch vụ LDAPS:
ví dụ: bạn mở máy chủ SharePoint Server / máy chủ .NET framework hoặc / Apache Server / PHP
server …
26.
27.
28.
29.
30. Như vậy, có 2 bước triển khai:
1. cấu hình CA trên AD DS và Export ra file pfx.
2. Cấu hình import file pfx vào máy VPN/ SharePoint /.Net / PHP/ Apache server cần kết nối
LDAPS.